5 Fragen zum Computerdefekt „Log4Shell“, der Tausende von Unternehmen bedroht

Schlechte Nachrichten für Verteidiger. Am 10. Dezember veröffentlichte die National Information Systems Security Agency (Anssi) Aufmerksamkeit Bezüglich einer Schwachstelle in Apache Log4j, einer Softwarekomponente, die von Tausenden von Unternehmen verwendet wird.

Dieser Fehler heißt ‚Log4Shell Mit anderen Worten, es kann ihnen ermöglichen, Tausende von Unternehmen und anderen Organisationen zu infizieren. Zum Glück hat die Apache Software Foundation bereits ein Update veröffentlicht, um den Fehler zu beheben. Jetzt nehmen Cybersicherheitsteams an einem Zeitfahren teil: Sie müssen das Update vorher bereitstellen Angreifer nutzen Schwachstellen aus Um die drohende Krise besser zu verstehen, haben wir 5 Fragen ausgewählt und beantwortet.

Was ist Log4Shell?

Log4Shell (unter Benutzernamen verfolgt CVE-2021-44228) ist eine Zero-Day-Schwachstelle, d. h. eine Computer-Schwachstelle, die bei ihrer Entdeckung keinen Patch hatte. Konkret können Hacker es mit einem Cyberangriff angreifen, um die Fernsteuerung eines Geräts oder einer Anwendung zu erlangen.

Die Schwachstelle befindet sich in der Java-Softwarebibliothek namens Log4j, einer Reihe von Dateien, die häufig zur Verwaltung der Protokollierung verwendet werden, d. h. des Verlaufs der Aktionen, die in einer Anwendung ausgeführt werden.

Log4Shell veröffentlicht Auf Twitter am 9. Dezember Von einem chinesischen Forscher in einem Schreiben mit einem Proof of Concept (POC), also einem Angebot, den Fehler auszunutzen. Neben dem Forscher Senden Sie den Code Vom POC auf der Github-Sharing-Plattform.

Wie funktioniert Log4Shell?

Um den Fehler für ihre Zwecke zu nutzen, erstellen Hacker eine spezifische Anfrage (d. h. einen Befehl in Form von Computercode) und senden ihn dann an die Zielanwendung. Wenn die Anwendung versucht, die Anfrage zu „protokollieren“, wird der Angriff eingeleitet.

gemäß LunaSec-ForscherDie Angreifer können dann das Gerät, auf dem Log4j ausgeführt wird, zwingen, die Malware herunterzuladen. Letztere werden sie endlich nutzen können (A Muscheln, in Sprache), um Befehle auf dem infizierten Gerät oder der infizierten Anwendung von einem Gerät in ihrem Besitz zu starten. Von dort aus haben sie die Möglichkeit, alle möglichen schlechten Taten zu begehen, vom einfachen Datendiebstahl bis zur VerbreitungRansomware.

Wer ist betroffen?

Tausende von Unternehmen, Institutionen, Abteilungen und damit deren Kunden. Log4j ist in fast allen Apache Software Foundation-Suiten (verwendet in Webservern) sowie in anderen Open-Source-Projekten wie ElasticSearch (Datenbankverwaltung) enthalten. Über 3 Milliarden Computer verwenden Java, und viele von ihnen verwenden Log4j.

Das Problem ist, dass einige große Unternehmen zwar wissen, dass sie Log4j verwenden, die Mehrheit dies jedoch nicht. Es ist ihnen jedoch unmöglich, ein Problem zu beheben, von dem sie nichts wissen. Deshalb empfiehlt Anssi “ Wenden Sie sich an den Entwickler oder Herausgeber, um zu überprüfen, ob er für diese Sicherheitsanfälligkeit anfällig ist und ob ein Patch verfügbar ist. »

Frühe Suche, entdeckt registrierenUnd Identifizierte Unternehmen mit anfälligen Servern: Apple, Amazon, Twitter, Cloudflare, Tendent und Baidu. Auch Tausende müssen betroffen sein.

Ist das schlecht?

Ja: Die Schwachstelle hat in CVSSv3, dem Standardmaß für die Bedeutung der Cybersicherheit, eine maximale Punktzahl von 10/10 erhalten. Zwei Gründe für diesen Hinweis:

• Log4Shell kann aus der Ferne ausgenutzt werden, was bedeutet, dass ein Angreifer nur von zu Hause aus mit einem anfälligen Computer interagieren muss, um ihn zu hacken. Daher kann es Tausende von Geräten gleichzeitig ansprechen.
• Um die Schwachstelle auszunutzen, sind keine wirklich fortgeschrittenen technischen Fähigkeiten erforderlich, zumal bereits Proofs of Concept im Internet kursieren.

Für Unternehmen ist die Situation noch besorgniserregender schlechte Pakete Und Greenoise Beachten Sie, dass einige böswillige Akteure bereits das Internet nach Servern durchsuchen, die für den Angriff anfällig sind. Mit anderen Worten, der Wettlauf zwischen Verteidigern und Angreifern hat bereits begonnen, und letztere haben die Führung übernommen.

Wie schützen Sie sich davor?

Die Apache Software Foundation, eine Log4j-Verlagsorganisation, hat am 10. Dezember dringend gepostet Sicherheitspatch. Somit sind aktualisierte Versionen (ab 2.15.0) von Log4j nicht mehr anfällig für Angriffe.

Es gibt aber auch eine Möglichkeit, Log4j so einzustellen, dass es vor Angriffen schützt. Der Forscher, der den Proof of Concept veröffentlicht hat, gibt an, dass die Angriffe nur funktionieren, wenn eine der in Log4j integrierten Optionen deaktiviert ist. Es reicht also, es zu aktivieren, was von den meisten Publishern implementiert wird.

Das Problem besteht, wie so oft bei der Cybersicherheit, darin, dass Updates in vielen Unternehmen nicht sofort erfolgen. Und da die Schwachstelle am vergangenen Wochenende entdeckt wurde, werden die Unternehmen sie wahrscheinlich nicht vor Montag oder noch länger beheben.