{"id":768,"date":"2021-12-16T10:06:40","date_gmt":"2021-12-16T10:06:40","guid":{"rendered":"https:\/\/www.cert.hr\/novosti\/log4j-upute-za-otkrivanje-ranjivih-servisa\/"},"modified":"2026-11-04T08:47:02","modified_gmt":"2026-11-04T08:47:02","slug":"log4j-upute-za-otkrivanje-ranjivih-servisa","status":"publish","type":"post","link":"https:\/\/cert.hr\/en\/ranjivosti\/log4j-upute-za-otkrivanje-ranjivih-servisa\/","title":{"rendered":"[Log4Shell] Upute za otkrivanje ranjivih servisa"},"content":{"rendered":"\n

Nacionalni CERT je u suradnji s Laboratorijem za sustave i signale<\/a> Fakulteta elektrotehnike i ra\u010dunarstva izradio upute za detekciju i otkrivanje ranjivih servisa te pretragu sustava kako bi se utvrdilo je li na sustavu iskori\u0161tena ranjivost Log4Shell.<\/a><\/h4>\n\n\n\n

Nagla\u0161avamo kako je potreban dodatan oprez kod preuzimanja raznih javno dostupnih alata! Odre\u0111eni besplatni alati sadr\u017ee zlonamjeran softver te umjesto detekcije, zaraze ra\u010dunalo neovisno je li ono ranjivo na Log4Shell ili nije.<\/span><\/h4>\n\n\n\n

Upute su napravljene za \"Whitebox\" lokalnu provjeru, provjeru kori\u0161tenih softvera i dinami\u010dko testiranje.<\/p>\n\n\n\n

1) \"Whitebox\" (lokalne) provjere:<\/strong><\/p>\n\n\n\n

Na Linux i Windows poslu\u017eiteljima te na ra\u010dunalima zaposlenika mo\u017eemo pretra\u017eivati filesystem<\/em> i prona\u0107i softver koji koristi \"log4j2\".<\/strong><\/p>\n\n\n\n

Powershell naredba - Windows:<\/strong><\/p>\n\n\n\n

gci 'C:\\' -rec -force -include *.jar -ea 0 | foreach {select-string \"JndiLookup.class\" $_} | select -exp Path<\/p>\n\n\n\n

Linux naredba:<\/strong><\/p>\n\n\n\n

find \/ 2>\/dev\/null -type f -name \"*.jar\" -print0 |xargs -0 grep -i \"jndilookup\"<\/p>\n\n\n\n

Po rezultatima tih naredbi mo\u017ee se prona\u0107i Java softver koji bi mogao biti zahva\u0107en ovom ranjivo\u0161\u0107u. Tada je mogu\u0107e dalje istra\u017eiti je li ova ranjivost primjenjiva (pogledati jesu li se autori softvera oglasili o tome), je li dostupna sigurnosna zakrpa ili je li mogu\u0107e primijeniti druge mitigacije [1]<\/p>\n\n\n\n

Pomo\u0107u ovih naredbi trebalo bi biti mogu\u0107e prona\u0107i dobar dio zahva\u0107enog softvera. Mogu\u0107e je da ne\u0107e detektirati neke ranjive servise, primjerice ako su obfuscirali k\u00f4d, ako se radi o ugnije\u017e\u0111enim JAR datotekama (JAR arhiva unutar JAR arhive) ili ako se radi o softveru koji koristi neki drugi format (npr. WAR).<\/p>\n\n\n\n

Mo\u017ee se razmisliti i o upotrebi custom<\/em> javno dostupnih alata koji su razvijeni za detekciju softvera koji koriste log4j2 biblioteku uz prethodnu provjeru izvornog k\u00f4da tih alata. [2][3][4]<\/p>\n\n\n\n

Ako je Va\u0161a organizacija razvila neki Java softver, potrebno je provjeriti je li kori\u0161tena biblioteka \"log4j2\" i a\u017eurirati je ako je potrebno. Bitno je rekurzivno provjeriti sve zavisnosti (primjerice pomo\u0107u maven dependency:tree plugina).<\/p>\n\n\n\n

2) Provjera kori\u0161tenog softvera<\/strong><\/p>\n\n\n\n

Bilo bi idealno kada bi postojao centralni inventar kori\u0161tenog softvera u organizaciji, pa bi se onda mogle provjeriti obavijesti svakog dobavlja\u010da softvera (Apache, Cisco, Elasticsearch) o ovoj ranjivosti.<\/p>\n\n\n\n

Ako takav inventar ne postoji, mogu\u0107e je provjeriti neku od lista do sad otkrivenog ranjivog softvera [5][6]. Treba imati na umu da takve liste ne\u0107e uklju\u010divati sav ranjivi softver.<\/p>\n\n\n\n

Posebno savjetujemo da se povremeno provjerava \"Cisco vulnerability advisory<\/strong>\", budu\u0107i da je velika koli\u010dina proizvoda jo\u0161 uvijek \"pod istragom\" [7].<\/p>\n\n\n\n

Va\u017eno je napomenuti da ova ranjivost ne utje\u010de samo na sustave koji su javno izlo\u017eeni na Internetu, ve\u0107 potencijalno utje\u010de i na bilo koji sustav do kojeg zlonamjerni string<\/em> mo\u017ee do\u0107i. Posebnu pa\u017enju potrebno je obratiti na sustave na koje se \u0161alju logovi (npr. ELK instance<\/strong>, Splunk<\/strong>).<\/p>\n\n\n\n

Tako\u0111er, zbog relativno laganog na\u010dina izvr\u0161avanja ranjivosti, ni interni sustavi na koje se ne \u0161alju nikakvi logovi nisu u potpunosti za\u0161ti\u0107eni (primjerice napada\u010d po\u0161alje zaposleniku poveznicu na mail, i korisnik klikom na link \"napadne\" interni sustav).<\/p>\n\n\n\n

Budu\u0107i da je ranjivost javna ve\u0107 nekoliko dana, nakon otkrivanja ranjivog sustava potrebno je analizirati logove kako bi se utvrdilo je li sustav ve\u0107 kompromitiran [8].<\/p>\n\n\n\n

3) Dinami\u010dko testiranje<\/strong><\/p>\n\n\n\n

Kao dodatna provjera mogu\u0107e je i dinami\u010dkim testiranjem, odnosno \"fuzzingom<\/em>\" provjeravati sigurnost sustava.<\/p>\n\n\n\n

Savjetujemo svima da testiraju servise za koje smatraju da bi mogli biti ranjivi putem jednog od alata navedenog u referencama. Postoji nekoliko alata koje je mogu\u0107e koristiti [9][10]. Profesionalni pentest alati kao \u0161to su Burpsuite Pro<\/strong> ili Nessus<\/strong> tako\u0111er imaju ekstenzije za provjeru ove ranjivosti [11][12]<\/p>\n\n\n\n

Za kriti\u010dnu infrastrukturu potrebno je ove alate modificirati tako da ne koriste vanjske servise poput \"dnslog.cn\", kako ne bi curile informacije o ranjivim servisima.  Po mogu\u0107nosti, preporu\u010dujemo da se modificira \"payload\" kako bi se izbjegli \"false positive\" rezultati (nije svako posje\u0107ivanje napada\u010devog URL-a nu\u017eno zbog ranjivosti) [13]<\/p>\n\n\n\n

Ovakvim automatskim provjerama ne\u0107e biti obuhva\u0107ene svi mogu\u0107i na\u010dini na koje bi netko mogao iskoristiti ranjivost, ali vjerujemo da \u0107e pokriti ve\u0107inu slu\u010dajeva koje \u0107e koristiti napada\u010di slabijih vje\u0161tina.<\/p>\n\n\n\n

Upute su tako\u0111er dostupne za preuzimanje.<\/a><\/strong><\/p>\n\n\n\n

Reference:<\/p>\n\n\n\n

[1] https:\/\/logging.apache.org\/log4j\/2.x\/security.html<\/a>  <\/p>\n\n\n\n

[2] https:\/\/github.com\/darkarnium\/CVE-2021-44228<\/a>  <\/p>\n\n\n\n

[3] https:\/\/github.com\/mergebase\/log4j-detector<\/a>  <\/p>\n\n\n\n

[4] https:\/\/gist.github.com\/righettod\/0f2a7491a312d1ff5823b73058e55016<\/a>  <\/p>\n\n\n\n

[5] https:\/\/github.com\/authomize\/log4j-log4shell-affected<\/a>  <\/p>\n\n\n\n

[6] https:\/\/www.techsolvency.com\/story-so-far\/cve-2021-44228-log4j-log4shell\/#affected-products<\/a>  <\/p>\n\n\n\n

[7] https:\/\/tools.cisco.com\/security\/center\/content\/CiscoSecurityAdvisory\/cisco-sa-apache-log4j-qRuKNEbd<\/a>  <\/p>\n\n\n\n

[8] https:\/\/gist.github.com\/Neo23x0\/e4c8b03ff8cdf1fa63b7d15db6e3860b<\/a>  <\/p>\n\n\n\n

[9] https:\/\/github.com\/fullhunt\/log4j-scan<\/a>  <\/p>\n\n\n\n

[10] https:\/\/github.com\/Diverto\/nse-log4shell<\/a>  <\/p>\n\n\n\n

[11] https:\/\/github.com\/PortSwigger\/active-scan-plus-plus\/commit\/b485a0744140533d877ce244603502b42f9c6656<\/a>  <\/p>\n\n\n\n

[12] https:\/\/www.tenable.com\/plugins\/was\/113075<\/a>  <\/p>\n\n\n\n

[13] https:\/\/twitter.com\/bojanz\/status\/1469386131544621056<\/a>  <\/p>\n","protected":false},"excerpt":{"rendered":"

Nacionalni CERT je u suradnji s Laboratorijem za sustave i signale Fakulteta elektrotehnike i ra\u010dunarstva izradio upute za detekciju i otkrivanje ranjivih servisa te pretragu sustava kako bi se utvrdilo je li na sustavu iskori\u0161tena ranjivost Log4Shell. Nagla\u0161avamo kako je potreban dodatan oprez kod preuzimanja raznih javno dostupnih alata! Odre\u0111eni besplatni alati sadr\u017ee zlonamjeran softver […]<\/p>\n","protected":false},"author":3,"featured_media":1197,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":[],"meta":{"_acf_changed":false,"footnotes":""},"categories":[27],"tags":[],"tema":[],"class_list":["post-768","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ranjivosti"],"acf":[],"_links":{"self":[{"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/posts\/768","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/comments?post=768"}],"version-history":[{"count":1,"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/posts\/768\/revisions"}],"predecessor-version":[{"id":1202,"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/posts\/768\/revisions\/1202"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/media\/1197"}],"wp:attachment":[{"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/media?parent=768"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/categories?post=768"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/tags?post=768"},{"taxonomy":"tema","embeddable":true,"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/tema?post=768"},{"taxonomy":"format","embeddable":true,"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/format?post=768"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}