Log4Shell (CVE-2021-44228) é uma vulnerabilidade de dia zero no Log4j, uma estrutura de registro Java popular, envolvendo execução arbitrária de código. A vulnerabilidade - sua existência não percebida desde 2013 - foi divulgada em particular à The Apache Software Foundation, da qual Log4j é um projeto, por Chen Zhaojun da equipe de segurança em nuvem do Alibaba em 24 de novembro de 2021, e foi divulgada publicamente em 9 de dezembro de 2021. O Apache deu ao Log4Shell uma classificação de gravidade CVSS de 10, a pontuação mais alta disponível. Estima-se que a exploração afete centenas de milhões de dispositivos e seja muito simples de executar.
A vulnerabilidade se aproveita do Log4j permitindo solicitações a servidores arbitrários LDAP e JNDI, e não verificando as respostas, permitindo que invasores executem código Java arbitrário em um servidor ou outro computador, ou vazem informações confidenciais. Uma lista de seus projetos de software afetados foi publicada pela Equipe de Segurança Apache . Os serviços comerciais afetados incluem Amazon Web Services, Cloudflare, iCloud, Minecraft: Java Edition, Steam, Tencent QQ e muitos outros. De acordo com Wiz e Ernst & Young, a vulnerabilidade afetou 93% dos ambientes de nuvem corporativos.
Os especialistas descreveram o Log4Shell como a maior vulnerabilidade de todos os tempos. LunaSec caracterizou-o como "uma falha de design de proporções catastróficas", e o The Washington Post disse que as descrições feitas por profissionais de segurança "beiram o apocalíptico".
História Log4j é uma estrutura de registro de código aberto que permite aos desenvolvedores de software registrar dados em seus aplicativos. Esses dados podem incluir a entrada do usuário. Ela é usada de forma onipresente em aplicativos Java, especialmente em software corporativos. Originalmente escrita em 2001 por Ceki Gülcü, agora faz parte do Apache Logging Services, um projeto da Apache Software Foundation. O ex-membro da comissão de segurança cibernética do presidente Barack Obama, Tom Kellermann, descreveu o Apache como "um dos gigantescos suportes de uma ponte que facilita o tecido conectivo entre os mundos dos aplicativos e os ambientes de computador".
Mitigação As correções para esta vulnerabilidade foram lançadas em 6 de dezembro de 2021, três dias antes da publicação da vulnerabilidade, no Log4j versão 2.15.0-rc1. A correção incluiu restringir os servidores e protocolos que podem ser usados para pesquisas. Os pesquisadores descobriram um bug relacionado, CVE-2021-45046, que permite a execução local ou remota de código em certas configurações não-padrão e foi corrigido na versão 2.16.0, que desabilitou todos os recursos usando JNDI e suporte para pesquisas de mensagem. Para versões anteriores, a classe org.apache.logging.log4j.core.lookup. JndiLookup precisa ser removida do caminho de classe para mitigar ambas as vulnerabilidades. Uma correção recomendada para versões anteriores era definir a propriedade do sistema log4j2.formatMsgNoLookups como true, mas essa alteração não impede a exploração de CVE-2021-45046.
Uso A exploração permite que os hackers obtenham o controle de dispositivos vulneráveis usando Java. Alguns hackers empregam a vulnerabilidade para utilizar os recursos dos dispositivos das vítimas; os usos incluem mineração de criptomoeda, criação de botnets, envio de spam, estabelecimento de backdoors e outras atividades ilegais, como ataques de ransomware. Nos dias seguintes à publicação da vulnerabilidade, o Check Point monitorou milhões de ataques sendo iniciados por hackers, com alguns pesquisadores observando uma taxa de mais de cem ataques por minuto que resultou em mais de 40% de redes de negócios sendo atacadas internacionalmente.
Resposta e impacto
Governamental Nos Estados Unidos, a diretora da Cybersecurity and Infrastructure Security Agency (CISA), Jen Easterly, descreveu a exploração como "uma das mais sérias que já vi em toda a minha carreira, senão a mais séria", explicando que centenas de milhões de dispositivos foram afetados e aconselhando os fornecedores a priorizar as atualizações de software. As agências civis contratadas pelo governo dos Estados Unidos tinham até 24 de dezembro de 2021 para corrigir as vulnerabilidades, embora isso já tivesse permitido o acesso a centenas de milhares de alvos até essa data.
O Centro Canadense de Segurança Cibernética exortou as organizações a agirem imediatamente. A Agência de Receitas do Canadá encerrou temporariamente seus serviços online após saber da exploração, enquanto o Governo de Quebec fechou quase 4.000 de seus sites como uma "medida preventiva".
Referências Categoria:2021 na informática
Categoria:Segurança da informação Categoria:Falhas em segurança de computadores Categoria:Cibersegurança