Lỗ hổng Zero-Day được tìm thấy trong thư viện java Apache log4j

Apache Log4j là gì?

Apache Log4j hay thường gọi là Log4j là một trình ghi log (thư viện/framework) được viết bằng ngôn ngữ Java.

Apache Log4j là một mã nguồn mở cung cấp bởi Apache.

Lỗ hổng Zero-Day trong thư viện Apache log4j

Một lỗ hổng bảo mật Zero-Day thực thi lệnh từ xa RCE được tìm thấy trong thư viện Apache log4j với mã định danh CVE-2021-44228.

Phiên bản Apache log4j bị ảnh hưởng là từ 2.0 đến 2.14.1. Đây là một lỗ hổng khá nghiêm trọng, và giúp hacker chiếm quyền điều khiển máy chủ nạn nhân dễ dàng.

Về cơ bản, việc khai thác cho phép kẻ tấn công gửi cho máy chủ của bạn bất kỳ chuỗi nào như sau và nếu nó ghi nó vào đâu đó trong ứng dụng của bạn, máy chủ của bạn sẽ thực thi mã được lưu trữ tại địa chỉ đó .

Đối tượng bị ảnh hưởng

Minecraft là một trong những người đầu tiên loan tin và vá lỗi khai thác, vì nó có thể thực thi mã cả trên máy chủ và trên tất cả người chơi được kết nối với máy chủ thông qua tin nhắn trò chuyện trong trò chơi. Bản cập nhật hotfix cho trò chơi đã được phát hành để vá lỗi.

Theo như các báo cáo gần đây, nhiều dịch vụ sử dụng thư viện này sẽ bị ảnh hưởng nghiêm trọng bao gồm dịch vụ đám mây Steam, Apple iCloud.

Bên cạnh đó, bất kỳ đối tượng nào đang sử dụng Apache Struts2, Apache Solr, Apache Druid, Apache Flink,…vv đều có thể bị hacker dễ dàng tấn công.

Cách khắc phục

Việc khai thác đã được vá trong log4j với phiên bản 2.15.0-rc2. Vì vậy bạn có thể tải về để cập nhật tại đây