Log4j

Apache Log4j é um utilitário de registro baseado em Java originalmente escrito por Ceki Gülcü. É parte do Apache Logging Services, um projeto da Apache Software Foundation. Log4j é uma das várias estruturas de criação de log Java.

Desde então, Gülcü iniciou os projetos SLF4J e Logback,^[1] com a intenção de oferecer um sucessor ao Log4j.

Em 9 de dezembro de 2021, uma vulnerabilidade de dia zero envolvendo a execução arbitrária de código no Log4j 2 foi publicada pela Alibaba Cloud Security Team e recebeu o descritor "Log4Shell".^[2] Ela foi caracterizada pela empresa de segurança cibernética Tenable como "a maior e mais crítica vulnerabilidade da última década".^[3]

O Log4j pode ser configurado^[4] por meio de um arquivo de configuração ou por meio de código Java. Os arquivos de configuração podem ser gravados em XML, JSON, YAML ou formato de arquivo de propriedades. Em uma configuração, você pode definir três componentes principais: Loggers, Appenders e Layouts. Configurar o registro por meio de um arquivo tem a vantagem de que o registro pode ser ativado ou desativado sem modificar o aplicativo que usa o Log4j. O aplicativo pode ser executado com logoff até que haja um problema, por exemplo, e então o log pode ser reativado simplesmente modificando o arquivo de configuração.

Uma vulnerabilidade de dia zero envolvendo a execução remota de código em Log4j 2, com o descritor "Log4Shell" (CVE -2021-44228), foi encontrada e relatada ao Apache pela Alibaba em 24 de novembro de 2021 e publicada em um tweet em 9 de dezembro, 2021.^[2] Os serviços afetados incluem Cloudflare, iCloud, Minecraft: Java Edition,^[5] Steam, Tencent QQ e Twitter.^[6][7][8] A Apache Software Foundation atribuiu a classificação de gravidade CVSS máxima de 10 ao Log4Shell, já que milhões de servidores podem ser potencialmente vulneráveis à exploração.^[8] A vulnerabilidade foi caracterizada pela empresa de segurança cibernética Tenable como "a maior e mais crítica vulnerabilidade da última década"^[3] e o Free Wortley de Lunasec a caracterizou como "uma falha de design de proporções catastróficas".^[9]

O recurso que causa a vulnerabilidade pode ser desabilitado com uma definição de configuração, que foi removida^[10] no Log4j versão 2.15.0-rc1 (lançado oficialmente em 6 de dezembro de 2021, três dias antes da vulnerabilidade ser publicada) e substituída por várias configurações que restringem pesquisas remotas, reduzindo assim a vulnerabilidade.^[11][12] Para segurança adicional, todos os recursos que usam JNDI, nos quais esta vulnerabilidade foi baseada, serão desabilitados por padrão e o suporte para pesquisas de mensagens será removido da versão 2.16.0 em diante.^[13][14]