Գրանցամատյանում տեքստի մեկ տողը կարող էր հարձակվողին տալ սերվերի ամբողջական վերահսկողություն։ Ինչու է Log4Shell-ը դեռ կարևոր և ինչպես համոզվել, որ պաշտպանված եք։
Հրապարակվել է՝ 2021 թ. դեկտեմբերի 10
Log4j-ը գրանցամատյաններ գրելու տարածված Java գրադարան է, որը ներկառուցված է հազարավոր արտադրանքներում՝ վեբ հավելվածներից և VPN սարքերից մինչև խաղեր և արդյունաբերական ծրագրեր։ 2021-ի դեկտեմբերին պարզ դարձավ, որ հատուկ ձևավորված տողը, գրանցամատյան ընկնելով, ստիպում էր Log4j-ին բեռնել և կատարել կոդ հարձակվողի սերվերից։ Զանգվածային սկանավորումը սկսվեց մի քանի ժամվա ընթացքում։
| CVE | Վտանգավորություն | Խոցելի տարբերակներ | Ուղղված է |
|---|---|---|---|
CVE-2021-44228 | Կրիտիկական, CVSS 10.0 | Log4j 2.0-beta9 – 2.14.1 | 2.15.0; հետագա ուղղումներ՝ 2.16.0, 2.17.1 |
Հարձակման համար մուտք գործել պետք չէր․ բավական էր, որ օգտատիրոջ վերահսկվող ցանկացած տեքստ՝ օգտանուն, բրաուզերի User-Agent, չատի հաղորդագրություն, ընկներ գրանցամատյան։ Շատ ընկերություններ նույնիսկ չգիտեին, որ Log4j-ը կա իրենց օգտագործած արտադրանքների ներսում։
log4j-core ֆայլերի համար, ներառյալ այլ արխիվների ներսում գտնվողները։Չես կարող թարմացնել այն, ինչի գոյության մասին չգիտես։
Աղբյուրներ՝ Apache Log4j security, NVD CVE-2021-44228, CISA guidance.
Օգնության կարիք ունե՞ք։ Կապվեք CySec-ի հետ՝ անվճար խորհրդատվության համար։
Էքսփլոյթների նոր շղթան root իրավունքներ է տալիս տեղային N-central սերվերներում, հարձակումները սկսվեցին հրապարակումից մի քանի ժամ անց։ Լիարժեք ուղղում դեռ չկա․ շտապ ստուգումներ։
Կարդալ հոդվածըOutlook-ի շահագործվող խոցելիությունը հատուկ ֆայլի միջոցով փոխանցում է NTLM հեշը։ Այս ամիս Microsoft-ը ուղղել է ավելի քան 1000 խոցելիություն․ ահա առաջնահերթությունները։
Կարդալ հոդվածըGoogle-ը ուղղեց Chrome-ում արդեն շահագործվող use-after-free խոցելիությունը։ Ուղղումն աշխատում է միայն բրաուզերի վերագործարկումից հետո․ ինչպես համոզվել, որ յուրաքանչյուր համակարգիչ պաշտպանված է։
Կարդալ հոդվածըՄեր ինժեներները կուսումնասիրեն ձեր ներկայիս համակարգը և կառաջարկեն կոնկրետ բարելավումներ։