كيف يعمل الاستغلال؟

1. يقوم تطبيق الضحية بتسجيل مدخلات يقدمها المهاجم من رأس HTTP.
2. يستجيب خادم LDAP الخاص بالمهاجم بمرجع إلى Exploit.class.
3. يجلب الضحية Exploit.class عبر HTTP.
4. يعمل المُهيئ الثابت (Static initializer) في Exploit، مما يؤدي إلى إنشاء قشرة عكسية عائدة إلى المهاجم.

2. المخاطر

• الأثر: تنفيذ عن بُعد بدون مصادقة - أعلى شدة ممكنة.

• من/ما المعرض للخطر:

  • أي تطبيق Java يستخدم Log4j <= 2.14.1.
  • الخدمات الموجّهة للإنترنت والداخلية التي تسجل مدخلات يتحكم فيها المستخدم (مثل رؤوس HTTP).

• النتائج:

  • اختراق النظام (الوصول إلى shell).
  • تسريب البيانات.
  • التنقل داخل الشبكات الداخلية.
  • تجاوز الدفاعات الطرفية (الهجمات عبر الخدمات الداخلية).

3. إثبات المفهوم

المتطلبات الأساسية

1. docker + docker-compose
2. netcat
3. make

البناء والتشغيل

الاستغلال

1. شغّل مستمع netcat:

2. قم بتشغيل الاستغلال:

3. يستقبل netcat قشرة عكسية من الضحية:

4. المعالجة

الإصلاح المفضّل

• قم بالترقية إلى Log4j 2.17.1 أو إصدار أحدث.
• هذا هو الإصلاح الكامل والطويل الأمد الوحيد. الإصدارات السابقة تم تصحيحها جزئيًا لكنها ما زالت تترك ثغرات:
  • CVE-2021-45046: تنفيذ عن بُعد عبر إعدادات تسجيل غير افتراضية
  • CVE-2021-45105: حجب الخدمة (DoS) عبر استعلامات ذاتية المرجع
  • CVE-2021-44832: تنفيذ عن بُعد عبر بعض إعدادات JDBC appender

إجراءات تخفيف مؤقتة (إذا تعذرت الترقية)

1. كسب الوقت

• تقييد سلاسل الاستغلال الواردة (أنماط ${jndi:) عبر WAF أو وسيط (middleware).
• تقييد حركة LDAP الصادرة من خوادم التطبيقات عبر تصفية الحركة الصادرة (egress filtering).

2. تعطيل الاستعلامات:

3. تحصين JVM:

إجراءات تخفيف تشغيلية

1. تدقيق التبعيات وبيئة التشغيل

• إنشاء SBOM (gradle dependencies, Snyk, Wiz، إلخ).
• البحث في الصور/الخوادم المنشورة عن log4j-core-*.jar، بما في ذلك ملفات JAR الكاملة (fat JARs).
• فرز وتحديد أولويات إجراءات التخفيف لأكثر أعباء العمل خطورة.

2. المراقبة والكشف

• راقب محاولات الاستغلال في السجلات (${jndi:...}, ${${lower:j}ndi:...}, إلخ).
• راقب حركة LDAP الصادرة بحثًا عن اتصالات رد (callbacks).
• تعامل مع النتائج على أنها اختراقات محتملة، وارفعها للاستجابة للحوادث (تحقيق جنائي، إزالة القطع الأثرية الخبيثة، تدوير الأسرار، إلخ).

3. تصحيحات البائعين

• تابع النشرات الأمنية للبائعين (مثل Elasticsearch) - كثير منهم يوزعون نسخًا مدمجة من Log4j.
• طبّق التصحيحات السريعة أو الحلول البديلة المقدمة حتى تتوفر التصحيحات الرسمية.

4. تحسينات استراتيجية

• فرض سياسة "الرفض افتراضيًا" لتصفية حركة المرور الصادرة.
• فرض فحص التبعيات في CI/CD.
• توثيق دليل الاستجابة (playbooks) رسميًا حتى تعرف الفرق ماذا تفعل بالضبط خلال ثغرة "CVSS 10.0" القادمة.
• تنفيذ تمارين المرونة/الطاولة لاختبار الجاهزية لحادث "من فئة Log4Shell الجديد".

5. المراجع

• Apache Security Advisories