Sicherheitsrisiko Log4J minimieren

Die weltweite Sicherheitslücke in der Java-Logging-Library Log4J macht gerade Schlagzeilen. Und das zu Recht, denn erste Angriffe laufen bereits. Die kritische Zero-Day-Sicherheitslücke wird als „log4Shell“ bezeichnet und betrifft Unternehmen weltweit – darunter auch bekannte Namen wie Apple, Twitter oder Amazon. Wir zeigen Ihnen, wie Sie das Sicherheitsrisiko Log4J minimieren können, schnell und einfach.

WARUM DIE SICHERHEITSLÜCKE SO KRITISCH IST

MIT CITRIX ADC DAS SICHERHEITSRISIKO LOG4J MINIMIEREN

Die gute Nachricht ist, es gibt die Möglichkeit bekannte Angriffe zu blockieren und damit das Risiko, dass die Sicherheitslücke ausgenutzt werden kann, zu reduzieren. Mit Hilfe von Citrix ADC bieten sich zwei Wege an. Wir zeigen Ihnen, wie Sie sich gegen das Sicherheitsrisiko schützen können. Citrix ADC ist laut Hersteller selbst nicht von der Lücke betroffen.

Citrix ADC bietet grundsätzlich zwei Varianten um Angriffe mit dem Log4j2 Exploit (CVE-2021-44228) gegen betroffene Anwendungen abzuschwächen.

Variante 1: Responder Policy

Die Ausnutzung der Schwachstelle kann über eine Responder Policy abgefangen und gedropped werden. Diese Lösung ist in allen Lizenzstufen möglich und wird offiziell seit dem 14.12.2021 vom Hersteller empfohlen.

Wie genau funktioniert das?

Man muss zuerst folgende CLI-Commands für die Responder-Policy über SSH auf dem Citrix ADC einspielen:

# Citrix CVE 2021 44228 Mitigation Policy
#
# add pattern set
add policy patset patset_cve_2021_44228
bind policy patset patset_cve_2021_44228 ldap -index 1
bind policy patset patset_cve_2021_44228 http -index 2
bind policy patset patset_cve_2021_44228 https -index 3
bind policy patset patset_cve_2021_44228 ldaps -index 4
bind policy patset patset_cve_2021_44228 rmi -index 5
bind policy patset patset_cve_2021_44228 dns -index 6
#
# add responder policy
add responder policy mitigate_cve_2021_44228 "HTTP.REQ.FULL_HEADER.SET_TEXT_MODE(URLENCODED).DECODE_USING_TEXT_MODE.AFTER_STR(\"${\").BEFORE_STR(\"}\").CONTAINS(\"${\") || HTTP.REQ.FULL_HEADER.SET_TEXT_MODE(URLENCODED).DECODE_USING_TEXT_MODE.SET_TEXT_MODE(IGNORECASE).STRIP_CHARS(\"${: }/+\").AFTER_STR(\"jndi\").CONTAINS_ANY(\"patset_cve_2021_44228\") || HTTP.REQ.BODY(8192).SET_TEXT_MODE(URLENCODED).DECODE_USING_TEXT_MODE.AFTER_STR(\"${\").BEFORE_STR(\"}\").CONTAINS(\"${\") || HTTP.REQ.BODY(8192).SET_TEXT_MODE(URLENCODED).DECODE_USING_TEXT_MODE. SET_TEXT_MODE(IGNORECASE).STRIP_CHARS(\"${: }/+\").AFTER_STR(\"jndi\").CONTAINS_ANY(\"patset_cve_2021_44228\")" DROP
#
# bind responder policy global
bind responder global mitigate_cve_2021_44228 10 END -type REQ_OVERRIDE
#
# save config
save c
#

Die Policy wird global gebunden und schützt daher alle über den ADC bereitgestellten Services mit HTTP und SSL Offloading.

Über den Hit-Counter der Responder Policy können mögliche unterbundene Zugriffe eingesehen werden:

WICHTIG: Die Policy funktioniert nur bei Services, bei denen der ADC den Inhalt in Klartext sehen kann (u.a. kein Support für TCP, SSL-Bridge, UDP, etc.)

ACHTUNG: Die Policy kann zu erhöhter LAST auf dem ADC führen, daher empfiehlt es sich das Performance Monitoring verstärkt im Auge zu behalten.

Variante 2: Citrix ADC WAF Signaturen für CVE-2021-44228

Citrix hat Web Application Firewall (WAF) Signaturen zur Mitigation des CVEs veröffentlicht.

Mit dem Einsatz der aktuellen Signaturen (Version 73) können die Angriffe gleichwertig blockiert werden. Im Unterschied zu den Responder Policies ziehen die WAF Signaturen allerdings nur auf Services mit aktiver WAF Konfiguration und es ist eine Citrix ADC Premium oder Platinum Lizenz notwendig. Vorteil dieser Lösung: Man kann davon ausgehen, dass es regelmäßig angepasste Signaturen geben wird.