Log4Shell (CVE-2021-44228): библиотека журналирования, которая потрясла интернет

Публично раскрыта: 10 декабря 2021

Log4j — популярная Java-библиотека для записи журналов, встроенная в тысячи продуктов: от веб-приложений и VPN-устройств до игр и промышленного ПО. В декабре 2021 года стало известно, что специально сформированная строка, попав в журнал, заставляла Log4j загружать и выполнять код с сервера злоумышленника. Массовое сканирование началось в течение нескольких часов.

Почему это было так опасно

Для атаки не нужен был вход в систему: достаточно, чтобы любой текст, контролируемый пользователем, — имя, User-Agent браузера, сообщение в чате — попал в журнал. Многие компании даже не знали, что Log4j есть внутри используемых ими продуктов.

Как защититься

1. Обновите Log4j до 2.17.1 и новее (для Java 8) — это закрывает и последующие уязвимости CVE-2021-45046, CVE-2021-45105 и CVE-2021-44832.
2. Уточните у поставщиков устройств и бизнес-ПО, используют ли их продукты Log4j, и установите обновления.
3. Просканируйте серверы на уязвимые файлы log4j-core, в том числе вложенные в другие архивы.
4. Ограничьте исходящий интернет-трафик серверов — атака зависела от подключения сервера к злоумышленнику.
5. Ведите реестр ПО (SBOM), чтобы следующую уязвимость в библиотеке можно было найти за часы, а не недели.

Нельзя обновить то, о существовании чего вы не знаете.

Источники: Apache Log4j security, NVD CVE-2021-44228, CISA guidance.

Нужна помощь? Свяжитесь с CySec — первая консультация бесплатно.

Все статьи