کشف آسیب‌پذیری بحرانی در کتابخانه LOG۴J در APACHE

آسیب‌پذیری روزصفرم بحرانی در کتابخانه Log۴j مربوط به Apache می‌تواند بخش بزرگی از اینترنت را تحت تاثیر خود قرار دهد.

به گزارش افتانا (پایگاه خبری امنیت فناوری اطلاعات)، اخیراً یک ‫آسیب‌پذیری روزصفرم بحرانی در کتابخانه Log۴j مربوط بهApache یافت شده است و از آن‌جایی که این کتابخانه کاربرد بسیاری دارد، آسیب‌پذیری مذکور بخش بزرگی از اینترنت را تحت تاثیر خود قرار می‌دهد.

در واقع با توجه به اینکه این کتابخانه با زبان جاوا پیاده‌سازی شده است، تقریباً هر سروری که از زبان جاوا استفاده می‌کند (نسخه‌های پیش از ۲.۱۴.۱ کتابخانه Log۴j و نسخه‌های جاوای پیش از ۶u۲۱۲، ۷u۲۰۲، ۸u۱۹۲ و ۱۱.۰.۲)، نسبت به این آسیب‌پذیری آسیب‌پذیر است. در برخی موارد برنامه به‌طور مستقیم از کتابخانه Log۴j۲ استفاده نمی‌کند اما ممکن است برخی زیرساخت‌های آن اعم از سرور برنامه، سرور پایگاه داده یا دستگاه های شبکه از این کتابخانه استفاده کنند که کاربر را در معرض خطر این آسیب‌پذیری قرار می‌دهد؛ لذا به کاربران توصیه می‌شود هرچه سریع‌تر نسبت به به‌روزرسانی سرور‌های آسیب‌پذیر اقدام کنند. (به‌روزرسانی به نسخه rc۲- ۲.۱۵.۰ و جاوا نسخه ۸u۱۲۱)

این آسیب‌پذیری با شناسه CVE-۲۰۲۱-۴۴۲۲۸ شناخته شده و دارای شدت بحرانی ۱۰ از ۱۰ است. این آسیب‌پذیری از راه دور و بدون احرازهویت قابل بهره‌برداری است و مهاجم با بهره‌برداری موفق از این آسیب‌پذیری قادر است کد دلخواه خود را در سرور‌های آسیب‌پذیر اجرا کند. آسیب‌پذیری CVE-۲۰۲۱-۴۴۲۲۸ در حال حاضر تحت بهره‌برداری فعال قرار داشته و اکسپلویت آن در لینک زیر موجود است:
https://github.com/tangxiaofeng۷/CVE-۲۰۲۱-۴۴۲۲۸-Apache-Log۴j-Rce

جهت کاهش مخاطرات این آسیب‌پذیری به‌طور موقت، راهکارهای زیر پیشنهاد می‌شود:
- تنظیم مقدار true برای ویژگی log۴j۲.formatMsgNoLookups
- حذف کلاس JndiLookup از مسیر کلاس‌ها