Log4Shell esiintyy tietomurroissa seuraavan vuosikymmenen aikana
Tämä viikko merkitsee ensimmäinen vuosipäivä Log4j/Log4Shel-haavoittuvuuden löytämisestäl joka vaikuttaa Java-lokikirjastoon. Ja siitä huolimatta, että tapahtumasta on kulunut vuosi, Log4j:n haavoittuvien versioiden latausmäärä on edelleen korkea, koska on laskettu, että noin 30-40% kaikista latauksista on paljastettua versiota.
Kuten äskettäin kerrottiin, monet organisaatiot ovat edelleen haavoittuvia vaikka korjatut versiot tulivat pian saataville.
Niiden, jotka eivät ole tietoisia haavoittuvuudesta, pitäisi tietää se on huomattava, koska hyökkäys voidaan suorittaa Java-sovelluksiin jotka tallentavat ulkoisista lähteistä saadut arvot, esimerkiksi näyttämällä ongelmallisia arvoja virheilmoituksissa.
Log4j-haavoittuvuus oli herätys kaikille organisaatioille, ja hetken, jonka monet tietoturva-ammattilaiset haluaisivat unohtaa. Log4j:n laajan käytön ja kasvavan sisäisten ja kolmansien osapuolien palvelinten verkoston ansiosta haavoittuvuus kuitenkin tuntuu vielä pitkään.
On havaittu, että lähes kaikki projektit, joissa käytetään kehyksiä, kuten Apache Struts, Apache Solr, Apache Druid tai Apache Flink, vaikuttavat mukaan lukien Steam, Apple iCloud, Minecraft-asiakkaat ja palvelimet.
Sonatype on tuottanut näytettävä resurssikeskus tämänhetkinen haavoittuvuus, sekä työkalu, joka auttaa yrityksiä skannaamaan avoimen lähdekoodin nähdäkseen, vaikuttaako se siihen.
Kojelauta näyttää edelleen haavoittuvien Log4j-latausten prosenttiosuuden (tällä hetkellä noin 34 % viime joulukuusta). Se näyttää myös ne osat maailmasta, joissa haavoittuvien latausten prosenttiosuus on suurin.
Brian Fox, Sonatypen teknologiajohtaja, sanoo:
Log4j muistutti jyrkästi ohjelmistojen toimitusketjun turvaamisen tärkeydestä. Sitä käytettiin käytännössä kaikissa nykyaikaisissa sovelluksissa ja se vaikutti organisaatioiden palveluihin ympäri maailmaa. Vuosi Log4Shellin tapauksen jälkeen tilanne on edelleen synkkä. Tietojemme mukaan 30-40 % kaikista Log4j-latauksista on haavoittuvaiselle versiolle, vaikka korjaustiedosto julkaistiin 24 tunnin sisällä haavoittuvuuden ennenaikaisesta paljastamisesta.
Tämän lisäksi hän lisää, että se on:
Organisaatioiden on ehdottomasti ymmärrettävä, että suurin osa avoimen lähdekoodin riskeistä on kuluttajilla, joiden tulisi omaksua parhaat käytännöt eikä syyttää viallista koodia. Log4j ei ole yksittäinen tapaus: 96 prosentilla haavoittuvien avoimen lähdekoodin komponenttien latauksista oli korjattu versio.
Organisaatiot tarvitsevat parempaa näkyvyyttä jokaisesta ohjelmiston toimitusketjussa käytetystä komponentista. Tästä syystä laadukkaat ohjelmistokoostumuksen analysointiratkaisut ovat niin tärkeitä tänään, kun maailma pohtii SBOM:ien käyttöä tulevaisuudessa.
Yhdistyneen kuningaskunnan ja eurooppalaisen ohjelmistopolitiikan tulisi vaatia, että ilmaisten ohjelmistojen kaupalliset kuluttajat pystyvät suorittamaan vastaavanlaisen palautuksen, aivan kuten autoteollisuuden kaltaisten fyysisten tuotteiden valmistajat odottavat. Yleinen näkyvyys tuo organisaatioille lisäetuja, kuten kyvyn tehdä sitä koskevia päätöksiä.
Kuten mennään kävi selväksi, että hakkerit jatkaisivat haavoittuvuuden hyödyntämistä. Helmikuussa Iranin valtion tukemat hakkerit käyttivät virhettä päästä Yhdysvaltain hallituksen verkkoon, louhia laittomasti kryptovaluuttaa, varastaa tunnistetietoja ja vaihtaa salasanoja. Sitten lokakuussa Kiinan hallitukseen liittyvä ryhmä käytti haavoittuvuutta hyökätäkseen erilaisia kohteita, mukaan lukien Lähi-idän maata ja elektroniikkavalmistajaa vastaan.
Log4j-haavoittuvuus vaikuttaa yrityksiin edelleen. Se sijoittuu jatkuvasti ensimmäisellä tai toisella sijalla eri kyberturvallisuuskonsulttien uhkaraporteissa, ja se vaikutti 41 prosenttiin organisaatioista maailmanlaajuisesti lokakuussa 2022.