A német szövetségi kiberbiztonsági felügyelet, a BSI vörös riasztást adott ki egy széles körben használt szoftverre. Egy olyan sebezhetőséget azonosítottak a programban, amely „rendkívül kritikus fenyegetést” jelent a webszerverekre.
Nagy a baj
Az egész techszektor felbolydult, amikor néhány napja az Apache Software Foundation szoftvervállalat képviselői bejelentették, hogy egy súlyos biztonsági rést fedeztek fel saját termékükben. Az Apache log4j naplózási segédeszközről van szó, ami a Java alapú naplózási keretrendszer széles körben használt eszköze. Egyebek között az Apple, az Amazon, a Cloudflare, a Twitter és a Steam termékeiben is megtalálható. Bár a hétköznapi felhasználók az elmúlt években akarva-akaratlanul eltávolodtak a Java alapú rendszerektől, az említett vállalatok programjain keresztül rengeteg ember készüléke veszélybe került.
A CVE-2021-44228-re keresztelt, de csak Log4Shell-ként emlegetett sebezhetőséget kihasználva a kibertámadók távolról futtathatnak programokat a kiszemelt gépeken, és egész rendszerek fölött átvehetik az irányítást.
Nagyon, nagyon sok szolgáltatás veszélybe került. Az olyan felhőszolgáltatókról, mint a Steam, vagy az Apple iCloud és az olyan alkalmazásokról, mint a Minecraft már kiderült, hogy sebezhetőek
-adta hírül a Lunasec kiberbiztonsági cég.
Van megoldás
A helyzet súlyosságát jelzi, hogy az Alibaba felhőszolgáltatói biztonsági csapata, a német szövetségi kiberbiztonsági felügyelet, Új-Zéland nemzeti számítógépes vészhelyzeti reagálási csoportja és számos más szakember is figyelmeztetést adott ki, hogy rendkívül nagy veszélybe kerültek az érintett szolgáltatók.
Időközben az is kiderült, hogy a GitHub weboldalra feltöltötték a sebezhetőség részleteit, az információk alapján pedig a hackerek máris elkezdték kutatni a védtelen, hitelesítést nem igénylő szervereket.
A BSI tájékoztatása szerint a biztonsági rést a Log4j legújabb frissítése már befalazta. A felügyelet azt javasolja a vállalatoknak, hogy minél előbb módosítsák a naplózási segédeszközt használó termékeiket, hajtsák végre a kiberbiztonsági figyelmeztetésben leírt intézkedéseket és szerezzék be a program legújabb verzióját.
