CVE-2021-44228 (Log4Shell): verificar e corrigir

O que é afetado

Só o log4j-core do Log4j 2 é afetado, e só da 2.0-beta9 até a correção. O Log4j 1.x não é afetado por esta CVE, mas chegou ao fim da vida útil em 2015 e tem falhas próprias. As aplicações Java construídas sobre o Log4j 2 (servidores de aplicação, mecanismos de busca, aplicações próprias) trazem a biblioteca nas próprias pastas, muitas vezes dentro de um .war ou de um .jar autocontido, não como pacote do sistema.

A primeira correção, a 2.15.0, era incompleta em algumas configurações (CVE-2021-45046), e vieram mais dois problemas (CVE-2021-45105 e CVE-2021-44832). Por isso o alvo hoje é a 2.17.1 ou posterior no Java 8, a 2.12.4 no Java 7 e a 2.3.2 no Java 6.

Verificar se um servidor a tem

Procure arquivos log4j-core e depois arquivos compactados que o incluem. A versão está no nome do arquivo:

sudo nice -n 19 ionice -c3 find / -xdev -type f -name 'log4j-core-*.jar' 2>/dev/null

sudo nice -n 19 ionice -c3 find / -xdev -type f \( -name '*.jar' -o -name '*.war' -o -name '*.ear' \) 2>/dev/null \
  | while read -r f; do
      unzip -l "$f" 2>/dev/null \
        | grep -qE 'log4j/core/lookup/JndiLookup\.class|log4j-core-[0-9][^/]*\.jar' && echo "$f"
    done

Para uma aplicação que você mesmo compila, pergunte à ferramenta de build qual versão ela realmente empacota:

mvn dependency:tree -Dincludes=org.apache.logging.log4j:log4j-core

Para ver se alguém tentou, procure lookups nos logs de acesso do servidor web (os atacantes também os colocam em cabeçalhos, que esses logs não registram):

sudo grep -rhiE '\$\{jndi|%24%7Bjndi|\$\{\$\{' --include='*access*' --exclude='*.gz' /var/log/apache2 /var/log/httpd 2>/dev/null | tail -20

Corrigir

1. Software de um fornecedor: instale a versão do fornecedor que traz o Log4j 2.17.1 ou posterior.
2. Sua própria aplicação: suba o log4j-core (e o log4j-api) para a 2.17.1 ou posterior, ou a 2.12.4 no Java 7 e a 2.3.2 no Java 6, recompile e faça o deploy de novo. Confira com a ferramenta de build que nenhuma outra dependência traz de volta uma cópia mais antiga.
3. Reinicie a aplicação: uma JVM em execução mantém as classes antigas até lá.
4. Execute de novo a busca acima: não deve sobrar nenhum log4j-core antigo, inclusive em backups de aplicações implantadas que possam ser implantadas de novo.

<dependency>
  <groupId>org.apache.logging.log4j</groupId>
  <artifactId>log4j-core</artifactId>
  <version>2.17.1</version>
</dependency>

Fontes

Os fatos desta página vêm destas fontes; consulte-as para ver se houve mudanças.

• NVD: CVE-2021-44228
• Catálogo CISA Known Exploited Vulnerabilities: CVE-2021-44228
• Apache Logging Services: Log4j security vulnerabilities
• NVD: CVE-2021-44832