Em 10 de dezembro de 2021 foi divulgada a CVE-2021-44228, ou Log4Shell, falha de execução remota de código com nota máxima (10) na biblioteca Java Log4j. Ela afetava as versões 2.0-beta9 a 2.14.1 e obrigou empresas a descobrir onde a biblioteca estava escondida em seus sistemas.
A Log4Shell foi a vulnerabilidade CVE-2021-44228, divulgada em 10 de dezembro de 2021 na Log4j, biblioteca de registro de eventos (logs) da Apache amplamente usada em produtos e serviços escritos em Java. A falha permitia execução remota de código, recebeu nota 10 de 10 na escala CVSS e afetava todas as versões de 2.0-beta9 a 2.14.1. O episódio marcou o fim de 2021 porque obrigou empresas de todos os portes a responder uma pergunta difícil: em quais sistemas, nossos ou de fornecedores, essa biblioteca estava presente?
O que tornava a Log4Shell tão grave?
Segundo o laboratório da ESET, a vulnerabilidade permitia que um atacante executasse código arbitrário em um servidor afetado sem acesso físico. Se o invasor alcançasse a rede local, sistemas internos também podiam ser explorados, mesmo sem exposição direta à internet.
Três fatores ampliaram o problema:
- Onipresença: a Log4j é usada por grande número de produtos, serviços e componentes Java.
- Dependências transitivas: a biblioteca frequentemente vinha embutida dentro de outros pacotes (arquivos JAR), sem que a equipe soubesse que a usava.
- Exploração rápida: o primeiro uso malicioso conhecido foi detectado em 1º de dezembro de 2021, antes da divulgação pública, e logo depois atacantes passaram a varrer a internet em busca de sistemas vulneráveis.
Quais versões foram afetadas e qual era a correção?
| Item | Situação descrita em dezembro de 2021 |
|---|---|
| Identificador | CVE-2021-44228 (Log4Shell) |
| Gravidade | CVSS 10 de 10 |
| Tipo de falha | Execução remota de código |
| Versões afetadas | Log4j 2.0-beta9 a 2.14.1 |
| Não afetado por esta falha | Biblioteca log4j-api; Log4j 1.x (que tem outras vulnerabilidades) |
| Correção inicial | Log4j 2.15.0 |
A ESET relatou centenas de milhares de tentativas de exploração bloqueadas nos primeiros dias, principalmente nos Estados Unidos, Reino Unido, Turquia, Alemanha e Países Baixos.
O que as empresas foram orientadas a fazer?
As recomendações publicadas na época seguiam uma lógica de inventário e priorização:
- montar uma lista priorizada de sistemas e verificar cada um em busca de versões vulneráveis, incluindo dependências dentro de arquivos JAR;
- procurar o arquivo JndiLookup.class e analisar logs em busca de padrões de exploração;
- registrar os resultados das varreduras para formar uma trilha de auditoria;
- atualizar para a Log4j 2.15.0 e planejar a migração de versões 1.x;
- bloquear endereços IP sabidamente suspeitos no firewall ou no sistema de prevenção de intrusão.
A falha continuou relevante depois de 2021?
Sim. Relatório da Fortinet sobre o primeiro semestre de 2022, noticiado pelo Canaltech, apontou que, excluindo o ransomware, a Log4Shell foi a vulnerabilidade mais explorada na América Latina naquele período e seguia como porta de entrada para ataques a organizações no mundo todo. Ou seja, meses depois da correção, muitos sistemas continuavam sem atualização.
O que isso significa hoje para quem contrata?
A Log4Shell popularizou, fora dos círculos técnicos, a importância de saber do que um software é feito. Para quem contrata desenvolvimento ou compra sistemas prontos, isso se traduz em perguntas práticas:
- o fornecedor mantém inventário das bibliotecas de terceiros usadas, inclusive as indiretas?
- existe processo para monitorar vulnerabilidades e aplicar correções em prazo definido?
- o contrato prevê quem é responsável por atualizar dependências depois da entrega?
Essas práticas fazem parte do que se convencionou chamar de DevSecOps, a integração da segurança ao ciclo de desenvolvimento. Fornecedores podem ser comparados nas categorias de software e cibersegurança.
Fontes
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
O que é a Log4j?
É uma biblioteca de registro de eventos (logs) mantida pela Apache e usada em grande número de aplicações Java. Ela registra o que acontece em um sistema, o que a torna presente em muitos produtos.
Qual era a nota de gravidade da Log4Shell?
A CVE-2021-44228 recebeu nota 10 de 10 na escala CVSS, a gravidade máxima, por permitir execução remota de código.
Atualizar para a versão 2.15.0 resolvia o problema?
Em dezembro de 2021, a versão 2.15.0 foi a correção inicial indicada para a CVE-2021-44228. A orientação também incluía inventariar sistemas, procurar dependências embutidas e planejar a saída de versões 1.x.