Apache Log4j2 exploitation in aeronautical, maritime, and aerospace communication - Juvonen, Artturi (2022)
Tässä kyberturvallisuuden pro gradu -tutkielmassa esitellään koeasetelma langattomien ACARS, ADS-B ja AIS -tietoliikenneprotokollien tutkimiseen käyttäen ohjelmistoradioita ja avoimen lähdekoodin ohjelmistoja. Protokollia käytetään hyökkäysreittinä Apache Log4j2 Java-ohjelmakirjaston haavoittuvuuksien hyväksikäytölle. Kirjallisuuskatsauksessa käsitellään tutkielman taustat sekä aiemmat tutkimustulokset. Artikkeliosuudessa kuvaillaan menetelmiä kriittisen CVE-2021-44228 "log4shell" haavoittuvuuden sekä muiden siihen liittyvien haavoittuvuuksien tutkimiseen hyödyntäen tietoisesti haavoittuvaksi tehtyä ohjelmistoa. Valittujen protokollien kyvykkyyttä CVE-2021-44228-haavoittuvuuden vaatimien merkkijonojen siirtämiseen tutkitaan niiden määrittelydokumentteihin perustuen. Skenaarioita, joissa turvallisuuden kannalta kriittiset tietoliikennejärjestelmät voisivat olla haavoittuvia, osoitetaan kokeellisesti mahdolliseksi. Tutkielman keskeinen löydös on, että kaikki tutkitut protokollat mahdollistavat log4shell-kyberhyökkäysten toteuttamisen langattomasti, kun tunnetut ennakkoehdot täyttyvät. Lisäksi tutkielman artikkeliosuudessa tuodaan ilmi merkittäviä uusia löydöksiä Log4j2-ohjelmakirjaston haavoittuvuudesta, joka mahdollistaa vakavien palvelunestohyökkäysten toteuttamisen.