لاگ۴جی

آپاچی لاگ۴جی  یک ابزار لاگ مبتنی بر جاوا است که در اصل توسط چکی گلچو نوشته شده‌است و بخشی از پروژه Apache Logging Services بنیاد نرم‌افزار آپاچی است. Log4j یکی از چندین چارچوب لاگ جاوا است.

گلچو از آن زمان پروژه‌های SLF4J و Logback را با هدف ارائه جانشینی برای Log4j آغاز کرده‌است.

در ۵ آگوست ۲۰۱۵، کمیته مدیریت پروژه Apache Logging Services اعلام کرد که Log4j 1 به پایان عمر خود رسیده‌است و به کاربران Log4j 1 توصیه می‌شود که به آپاچی Log4j 2 ارتقاء دهند.

آسیب‌پذیری Log4Shell 
یک آسیب‌پذیری روز صفر اجرای کد از راه دور در Log4j 2، به نام Log4Shell (CVE-2021-44228)، در ۹ دسامبر ۲۰۲۱ ظاهر شد. سرویس‌های تحت تأثیر عبارتند از کلودفلر، آی‌کلاد، ماینکرفت، استیم، تنسنت کیوکیو و توئیتر. ویژگی ایجاد کننده این آسیب‌پذیری را می‌توان با تنظیمات پیکربندی غیرفعال کرد که به‌طور پیش فرض در نسخه ۲٫۱۵٫۰ که چند روز قبل به‌طور رسمی منتشر شد غیرفعال شده‌است. بنیاد نرم‌افزار آپاچی حداکثر درجه آسیب‌پذیری ۱۰ را به Log4Shell اختصاص داده‌است.

این آسیب‌پذیری به راحتی قابل بهره‌برداری است و مهاجمان را قادر می‌سازد تا کنترل کامل سرورهای آسیب دیده را به دست آورند. این آسیب‌پذیری که به‌عنوان CVE-2021-44228 ردیابی می‌شود امکان اجرای کد از راه دور غیرقابل تأیید را می‌دهد، زیرا کاربر در حال اجرا برنامه از کتابخانه لاگ جاوا استفاده می‌کند. CISA از کاربران و مدیران خواسته‌است که اقدامات کاهشی توصیه شده را «فوراً» به منظور رسیدگی به آسیب‌پذیری‌های حیاتی اعمال کنند.

سیستم‌ها و سرویس‌هایی که از کتابخانه لاگ جاوا، Apache Log4j بین نسخه‌های ۲٫۰ و ۲٫۱۴٫۱ استفاده می‌کنند، از جمله بسیاری از سرویس‌ها و برنامه‌های کاربردی نوشته شده در جاوا همگی تحت تأثیر قرار می‌گیرند. این آسیب‌پذیری ابتدا در ماینکرفت کشف شد، اما محققان هشدار می‌دهند که برنامه‌های کاربردی ابری نیز آسیب‌پذیر هستند. یک پست وبلاگ توسط محققان LunaSec هشدار می‌دهد که هر کسی که از Apache Struts استفاده می‌کند «احتمالاً آسیب‌پذیر است.» LunaSec گفت: "با توجه به فراگیر بودن این کتابخانه، تاثیر اکسپلویت (کنترل کامل سرور)، و سهولت بهره برداری از آن، تاثیر این آسیب پذیری بسیار شدید است. ما آن را به اختصار "Log4Shell" می‌نامیم.

به منظور کاهش آسیب‌پذیری‌ها، کاربران باید log4j2.formatMsgNoLookups را با افزودن: "- Dlog4j2.formatMsgNoLookups = True" به دستور JVM برای شروع برنامه به true تغییر دهند. برای جلوگیری از سوء استفاده از کتابخانه، فوراً توصیه شده‌است که نسخه‌های Log4j به log4j-2.15.0-rc1 ارتقا داده شوند.

منابع

خواندن بیشتر

پیوند به بیرون 

بنیاد نرم‌افزار آپاچی
نرم‌افزارهای آزاد نوشته‌شده با جاوا
نرم‌افزارهایی که از پروانه آپاچی استفاده می‌کنند