Lỗ hổng Log4Shell (12/2021): doanh nghiệp rà soát thế nào

Giữa tháng 12/2021, giới bảo mật đồng loạt cảnh báo về Log4Shell, một lỗ hổng nghiêm trọng trong Log4j, thư viện ghi nhật ký rất phổ biến của ngôn ngữ Java. Lỗi có mã CVE-2021-44228. Doanh nghiệp nhỏ có thể không tự viết phần mềm Java, nhưng vẫn có thể dùng phần mềm, thiết bị hay dịch vụ có Log4j bên trong. Bài này nói rõ lỗi là gì và việc cần làm ngay.

Log4Shell là gì

Log4j là thư viện mã nguồn mở của Apache giúp ứng dụng Java ghi nhật ký hoạt động. Lỗi CVE-2021-44228 cho phép kẻ tấn công từ xa, không cần đăng nhập, khiến hệ thống bị ảnh hưởng thực thi mã độc. Do nhật ký thường chứa chuỗi do người dùng nhập, kẻ tấn công có thể gửi chuỗi đặc biệt qua nhiều đường quen thuộc như ô nhập liệu hay tiêu đề yêu cầu web.

Theo CISA (Cơ quan An ninh mạng và hạ tầng Hoa Kỳ), lỗi ảnh hưởng nhiều phiên bản Log4j 2 từ 2.0-beta9 đến 2.14.1. Thông tin công khai xuất hiện khoảng 9–10/12/2021, và Apache phát hành bản vá 2.15.0 cho Java 8 trở lên ngay sau đó.

Phần mềm nào có thể bị ảnh hưởng

Log4j được dùng rộng rãi trong dịch vụ cho người dùng và doanh nghiệp, website, ứng dụng và cả thiết bị công nghiệp. Các nhóm cần quan tâm:

• Ứng dụng nội bộ hoặc phần mềm đặt hàng viết bằng Java.
• Phần mềm của nhà cung cấp (quản lý, camera, kế toán, máy chủ ứng dụng) có thành phần Java.
• Máy chủ tìm kiếm, bộ công cụ phát triển, thiết bị mạng có giao diện quản trị web.
• Dịch vụ đám mây hay SaaS mà nhà cung cấp phải tự cập nhật.

Website WordPress thông thường viết bằng PHP và không dùng Log4j, nhưng máy chủ nơi website đặt có thể chạy dịch vụ Java khác. Vì vậy cần hỏi nhà cung cấp hosting hoặc quản trị hệ thống.

Kiểm kê phần mềm, hỏi nhà cung cấp

Theo hướng dẫn của CISA, các tổ chức nên tìm mọi phiên bản bị ảnh hưởng, kể cả trong phần mềm tự phát triển và dịch vụ đám mây. Với doanh nghiệp nhỏ, có thể làm như sau:

1. Lập danh sách hệ thống và phần mềm đang dùng, kể cả thiết bị mạng và dịch vụ thuê ngoài.
2. Ghi người chịu trách nhiệm và nhà cung cấp cho từng mục.
3. Gửi email hỏi nhà cung cấp: sản phẩm có dùng Log4j không, phiên bản nào, đã có bản vá chưa.
4. Đánh dấu các hệ thống kết nối Internet là ưu tiên trước.
5. Ghi lại mọi câu trả lời bằng văn bản.

Kỹ năng lập danh sách này cũng hữu ích cho nhiều tình huống khác, như đã nêu trong bài Python 2 sắp hết hỗ trợ: script cũ cần làm gì.

Cập nhật và theo dõi

CISA khuyến nghị ưu tiên cập nhật các hệ thống quan trọng và kết nối Internet. Nếu chưa thể cập nhật, có các biện pháp giảm thiểu tạm thời do CISA và Apache hướng dẫn, hoặc tách hệ thống khỏi mạng. Những điểm cần nhớ:

• Cập nhật lên phiên bản vá mới nhất mà nhà cung cấp cho phép. Lưu ý Apache còn phát hành thêm bản sửa bổ sung cho lỗi liên quan (CVE-2021-45046, sửa ở 2.16.0), vì thế hãy theo dõi bản mới thay vì dừng ở bản đầu tiên.
• Kiểm tra nhật ký để tìm dấu hiệu bị khai thác, vì nhật ký chứa chuỗi do người dùng nhập.
• Nếu nghi ngờ bị xâm nhập, đổi mật khẩu, cô lập máy và nhờ chuyên gia xử lý.
• Theo dõi thông báo của nhà cung cấp trong những ngày tới.

Các nguyên tắc làm việc an toàn khác nằm trong làm việc từ xa an toàn cho doanh nghiệp nhỏ, và bài học vá lỗi cùng sao lưu từ WannaCry.

Nếu cần hỗ trợ rà soát máy chủ và website, có thể liên hệ đội Công nghệ của HVSC qua trang bảo mật server và website.

2026 update: Log4Shell trở thành bài học lớn về quản lý phụ thuộc phần mềm. Nên theo dõi trang bảo mật chính thức của Apache Log4j và CISA để biết phiên bản vá hiện hành. Bài sự cố CrowdStrike 19/7/2024: bài học dự phòng and website nhiễm mã độc: 8 bước xử lý bổ sung góc nhìn về dự phòng và xử lý sự cố.

FAQ

Website WordPress của tôi có bị Log4Shell không?

WordPress dùng PHP, không dùng Log4j. Tuy vậy, hãy hỏi nhà cung cấp hosting xem máy chủ có chạy dịch vụ Java nào khác không.

Cập nhật lên phiên bản nào?

Apache phát hành 2.15.0 cho Java 8 trở lên rồi bổ sung bản sửa liên quan. Hãy theo dõi trang bảo mật Apache Log4j và hướng dẫn của nhà cung cấp phần mềm.

Không cập nhật được ngay thì sao?

Áp dụng các biện pháp giảm thiểu tạm thời theo hướng dẫn của CISA hoặc Apache, hoặc tách hệ thống khỏi Internet cho đến khi cập nhật được.

Reference sources

• CISA, Apache Log4j Vulnerability Guidance — https://www.cisa.gov/news-events/news/apache-log4j-vulnerability-guidance
• Apache Log4j Security — https://logging.apache.org/security.html