Saltar para o conteúdo

Log4Shell

Origem: Wikipédia, a enciclopédia livre.

Log4Shell (CVE-2021-44228) é uma vulnerabilidade de dia zero no Log4j, uma estrutura de registro Java popular, envolvendo execução arbitrária de código. [1] [2] A vulnerabilidade - sua existência não percebida desde 2013 - foi divulgada em particular à The Apache Software Foundation, da qual Log4j é um projeto, por Chen Zhaojun da equipe de segurança em nuvem do Alibaba em 24 de novembro de 2021, e foi divulgada publicamente em 9 de dezembro de 2021. [3] [4] [5] [6] O Apache deu ao Log4Shell uma classificação de gravidade CVSS de 10, a pontuação mais alta disponível. [7] Estima-se que a exploração afete centenas de milhões de dispositivos e seja muito simples de executar. [6] [8]

A vulnerabilidade se aproveita do Log4j permitindo solicitações a servidores arbitrários LDAP e JNDI, e não verificando as respostas, [9] [1] [10] permitindo que invasores executem código Java arbitrário em um servidor ou outro computador, ou vazem informações confidenciais. [5] Uma lista de seus projetos de software afetados foi publicada pela Equipe de Segurança Apache . [11] Os serviços comerciais afetados incluem Amazon Web Services, [12] Cloudflare, iCloud, [13] Minecraft: Java Edition, [14] Steam, Tencent QQ e muitos outros. [9] [15] [16] De acordo com Wiz e Ernst & Young, a vulnerabilidade afetou 93% dos ambientes de nuvem corporativos. [17]

Os especialistas descreveram o Log4Shell como a maior vulnerabilidade de todos os tempos. [8] LunaSec caracterizou-o como "uma falha de design de proporções catastróficas", [5] [18] e o The Washington Post disse que as descrições feitas por profissionais de segurança "beiram o apocalíptico". [8]

História

Log4j é uma estrutura de registro de código aberto que permite aos desenvolvedores de software registrar dados em seus aplicativos. Esses dados podem incluir a entrada do usuário. [19] Ela é usada de forma onipresente em aplicativos Java, especialmente em software corporativos. [5] Originalmente escrita em 2001 por Ceki Gülcü, agora faz parte do Apache Logging Services, um projeto da Apache Software Foundation. [20] O ex-membro da comissão de segurança cibernética do presidente Barack Obama, Tom Kellermann, descreveu o Apache como "um dos gigantescos suportes de uma ponte que facilita o tecido conectivo entre os mundos dos aplicativos e os ambientes de computador". [21]

Mitigação

As correções para esta vulnerabilidade foram lançadas em 6 de dezembro de 2021, três dias antes da publicação da vulnerabilidade, no Log4j versão 2.15.0-rc1. [22] [23] [24] A correção incluiu restringir os servidores e protocolos que podem ser usados para pesquisas. Os pesquisadores descobriram um bug relacionado, CVE-2021-45046, que permite a execução local ou remota de código em certas configurações não-padrão e foi corrigido na versão 2.16.0, que desabilitou todos os recursos usando JNDI e suporte para pesquisas de mensagem. [25] [26] Para versões anteriores, a classe org.apache.logging.log4j.core.lookup. JndiLookup precisa ser removida do caminho de classe para mitigar ambas as vulnerabilidades. [7] [25] Uma correção recomendada para versões anteriores era definir a propriedade do sistema log4j2.formatMsgNoLookups como true, mas essa alteração não impede a exploração de CVE-2021-45046. [25]

Uso

A exploração permite que os hackers obtenham o controle de dispositivos vulneráveis usando Java. [6] Alguns hackers empregam a vulnerabilidade para utilizar os recursos dos dispositivos das vítimas; os usos incluem mineração de criptomoeda, criação de botnets, envio de spam, estabelecimento de backdoors e outras atividades ilegais, como ataques de ransomware. [6] [8] [27] Nos dias seguintes à publicação da vulnerabilidade, o Check Point monitorou milhões de ataques sendo iniciados por hackers, com alguns pesquisadores observando uma taxa de mais de cem ataques por minuto que resultou em mais de 40% de redes de negócios sendo atacadas internacionalmente. [6] [21]

Resposta e impacto

Governamental

Nos Estados Unidos, a diretora da Cybersecurity and Infrastructure Security Agency (CISA), Jen Easterly, descreveu a exploração como "uma das mais sérias que já vi em toda a minha carreira, senão a mais séria", explicando que centenas de milhões de dispositivos foram afetados e aconselhando os fornecedores a priorizar as atualizações de software. [28] [6] [27] As agências civis contratadas pelo governo dos Estados Unidos tinham até 24 de dezembro de 2021 para corrigir as vulnerabilidades, embora isso já tivesse permitido o acesso a centenas de milhares de alvos até essa data. [8]

O Centro Canadense de Segurança Cibernética exortou as organizações a agirem imediatamente. [29] A Agência de Receitas do Canadá encerrou temporariamente seus serviços online após saber da exploração, enquanto o Governo de Quebec fechou quase 4.000 de seus sites como uma "medida preventiva". [30]

Referências

  1. ↑ a b Wortley, Free; Thrompson, Chris; Allison, Forrest (9 de dezembro de 2021). «Log4Shell: RCE 0-day exploit found in log4j 2, a popular Java logging package». LunaSec (em inglês). Consultado em 12 de dezembro de 2021 
  2. ↑ «CVE-2021-44228». Common Vulnerabilities and Exposures. Consultado em 12 de dezembro de 2021 
  3. ↑ Povolny, Steve; McKee, Douglas (10 de dezembro de 2021). «Log4Shell Vulnerability is the Coal in our Stocking for 2021». McAfee (em inglês). Consultado em 12 de dezembro de 2021 
  4. ↑ «Worst Apache Log4j RCE Zero day Dropped on Internet». Cyber Kendra. 9 de dezembro de 2021. Consultado em 12 de dezembro de 2021 
  5. ↑ a b c d Newman, Lily Hay (10 de dezembro de 2021). «'The Internet Is on Fire'». Wired (em inglês). ISSN 1059-1028. Consultado em 12 de dezembro de 2021 
  6. ↑ a b c d e f Murphy, Hannah (14 de dezembro de 2021). «Hackers launch more than 1.2m attacks through Log4J flaw». Financial Times. Consultado em 17 de dezembro de 2021 
  7. ↑ a b «Apache Log4j Security Vulnerabilities». Log4j. Apache Software Foundation. Consultado em 12 de dezembro de 2021 
  8. ↑ a b c d e Hunter, Tatum; de Vynck, Gerrit (20 de dezembro de 2021). «The 'most serious' security breach ever is unfolding right now. Here's what you need to know.». The Washington Post [ligação inativa] 
  9. ↑ a b Mott, Nathaniel (10 de dezembro de 2021). «Countless Servers Are Vulnerable to Apache Log4j Zero-Day Exploit». PC Magazine (em inglês). Consultado em 12 de dezembro de 2021 
  10. ↑ Goodin, Dan (10 de dezembro de 2021). «Zero-day in ubiquitous Log4j tool poses a grave threat to the Internet». Ars Technica (em inglês). Consultado em 12 de dezembro de 2021 
  11. ↑ «Apache projects affected by log4j CVE-2021-44228». 14 de dezembro de 2021 [ligação inativa] 
  12. ↑ «Update for Apache Log4j2 Issue (CVE-2021-44228)». Amazon Web Services. 12 de dezembro de 2021. Consultado em 13 de dezembro de 2021 
  13. ↑ Lovejoy, Ben (14 de dezembro de 2021). «Apple patches Log4Shell iCloud vulnerability, described as most critical in a decade». 9to5mac 
  14. ↑ «Security Vulnerability in Minecraft: Java Edition». Minecraft. Mojang Studios. Consultado em 13 de dezembro de 2021 
  15. ↑ Goodin, Dan (10 de dezembro de 2021). «The Internet's biggest players are all affected by critical Log4Shell 0-day». ArsTechnica. Consultado em 13 de dezembro de 2021 
  16. ↑ Rundle, David Uberti and James (15 de dezembro de 2021). «What Is the Log4j Vulnerability?» – via www.wsj.com 
  17. ↑ «Enterprises halfway through patching Log4Shell | Wiz Blog». www.wiz.io. Consultado em 20 de dezembro de 2021 
  18. ↑ Goodin, Dan (13 de dezembro de 2021). «As Log4Shell wreaks havoc, payroll service reports ransomware attack». Ars Technica (em inglês). Consultado em 17 de dezembro de 2021 [ligação inativa] 
  19. ↑ Yan, Tao; Deng, Qi; Zhang, Haozhe; Fu, Yu; Grunzweig, Josh (10 de dezembro de 2021). «Another Apache Log4j Vulnerability Is Actively Exploited in the Wild (CVE-2021-44228)». Unit 42. Palo Alto Networks 
  20. ↑ «Apache Log4j 2». Apache Software Foundation. Consultado em 12 de dezembro de 2021 
  21. ↑ a b Byrnes, Jesse (14 de dezembro de 2021). «Hillicon Valley — Apache vulnerability sets off alarm bells». TheHill (em inglês). Consultado em 17 de dezembro de 2021 [ligação inativa] 
  22. ↑ «Restrict LDAP access via JNDI by rgoers #608». Log4j (em inglês). 5 de dezembro de 2021. Consultado em 12 de dezembro de 2021 – via GitHub 
  23. ↑ Berger, Andreas (17 de dezembro de 2021). «What is Log4Shell? The Log4j vulnerability explained (and what to do about it)». Dynatrace news. Apache issued a patch for CVE-2021-44228, version 2.15, on December 6. However, this patch left part of the vulnerability unfixed, resulting in CVE-2021-45046 and a second patch, version 2.16, released on December 13. Apache released a third patch, version 2.17, on December 17 to fix another related vulnerability, CVE-2021-45105. 
  24. ↑ Rudis, boB (10 de dezembro de 2021). «Widespread Exploitation of Critical Remote Code Execution in Apache Log4j | Rapid7 Blog». Rapid7 (em inglês) 
  25. ↑ a b c «CVE-2021-45046». Common Vulnerabilities and Exposures. 15 de dezembro de 2021. Consultado em 15 de dezembro de 2021 
  26. ↑ Greig, Jonathan (14 de dezembro de 2021). «Second Log4j vulnerability discovered, patch already released». ZDNet (em inglês). Consultado em 17 de dezembro de 2021 
  27. ↑ a b Woodyard, Chris. «'Critical vulnerability': Smaller firms may find it harder to stop hackers from exploiting Log4j flaw». USA Today (em inglês). Consultado em 17 de dezembro de 2021 [ligação inativa] 
  28. ↑ «Statement from CISA Director Easterly on "Log4j" Vulnerability». CISA. 11 de dezembro de 2021 
  29. ↑ «Statement from the Minister of National Defence on Apache Vulnerability and Call to Canadian Organizations to Take Urgent Action». Government of Canada (em inglês). 12 de dezembro de 2021 
  30. ↑ Cabrera, Holly (12 de dezembro de 2021). «Facing cybersecurity threats, Quebec shuts down government websites for evaluation». CBC News. Consultado em 12 de dezembro de 2021 
Obtida de "https://pt.wikipedia.org/w/index.php?title=Log4Shell&oldid=62794327"