CVE-2021-44228
Log4Shell (CVE-2021-44228): проверка и защита сайта
Критическая уязвимость удалённого выполнения кода в Apache Log4j 2. Разбираем, кому нужно проверить приложение, как обновить зависимость и что делать владельцу сайта.
Кому нужно проверить
Разработчикам Java-сервисов, DevOps и владельцам сайтов на Java-платформах. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
При наличии уязвимой конфигурации специально сформированное значение, попавшее в обработку Log4j, может привести к выполнению кода на сервере. Сам факт работы сайта по HTTPS или наличие веб-защиты не устраняет уязвимую библиотеку.
Затронутые версии
Apache Log4j 2.0-beta9–2.14.1 при выполнении условий, описанных Apache. Уязвимость относится к компоненту Java-приложения, а не автоматически ко всем сайтам на любом стеке.
Исправленные версии
Apache рекомендует перейти на актуальную поддерживаемую версию Log4j 2; минимальная исправленная версия для исходной CVE — 2.15.0, но для современных развертываний следует сверяться с актуальными advisory и учитывать последующие исправления.
Что сделать
- 1Проверьте дерево зависимостей и поставляемые артефакты, включая вложенные JAR-файлы и сторонние сервисы. Поиск только прямой зависимости может пропустить транзитивное включение.
- 2Обновите Log4j до актуальной поддерживаемой версии, рекомендованной Apache для вашей ветки, затем пересоберите и разверните приложение.
- 3Если немедленное обновление невозможно, используйте только временные меры из официального advisory и запланируйте подтверждённое удаление или обновление компонента.
- 4Проверьте журналы приложения и инфраструктуры за период возможного воздействия, смените доступы и выполните реагирование на инцидент, если обнаружены признаки компрометации.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.