ГИС

Патч, выпущенный Amazon для Log4Shell, позволял повысить привилегии

22.04.2022
Патч, выпущенный Amazon для Log4Shell, позволял повысить привилегии

Специалисты Palo Alto Networks предупреждают, что хотпатч, выпущенный компанией Amazon для защиты AWS от нашумевших проблем в Apache Log4j, включая уязвимость Log4Shell (CVE-2021-3100, CVE-2021-3101, CVE-2022-0070, CVE-2022-0071), сам по себе представляет угрозу для пользователей. Патч может использоваться для побега из контейнера и повышения привилегий, позволяя злоумышленнику захватить контроль над базовым хостом, пишет Хакер.

Напомню, что в декабре прошлого года, вскоре после того, как ИБ-исследователи забили тревогу по поводу проблем в Apache Log4j, Amazon выпустила экстренные патчи, исправляющие баги в различных средах, включая серверы, Kubernetes, Elastic Container Service (ECS) и Fargate. Смысл хотпатчей заключался в быстром устранении уязвимостей, пока системные администраторы выполняли перенос своих приложений и служб на безопасную версию Log4j.

Однако, как теперь выяснили в Palo Alto Networks, патчи оказались не очень удачными и могли, в числе прочего, привести к захвату других контейнеров и клиентских приложений на хосте.

«Помимо контейнеров, непривилегированные процессы могут использовать патч для повышения привилегий и выполнения кода с правами root», — говорят специалисты.

Эксперты показали  видео, в котором демонстрируется атака на цепочку поставок с помощью образа вредоносного контейнера, использующего более ранний патч. Точно так же скомпрометированные контейнеры могут использоваться для «побега» и захвата базового хоста. В Palo Alto Networks решили пока не делиться подробностями об этом эксплоите, чтобы им не смогли воспользоваться злоумышленники.

«Любой процесс, выполняющий двоичный файл с именем java — внутри или вне контейнера — считается кандидатом на хотпатч. Там образом, вредоносный контейнер мог включать вредоносный двоичный файл с именем java, чтобы обмануть установленный хотпатч и вызвать его с повышенными привилегиями», — говорят аналитики.

На следующем этапе повышенные привилегии могли использоваться вредоносным процессом java для побега из контейнера и получения полного контроля над скомпрометированным сервером.

Пользователям рекомендуется как можно скорее обновиться до исправленной версии хотпатча, чтобы предотвратить эксплуатацию связанных с ним багов.