Atklāta programmatūras ievainojamība, kas potenciāli apdraud visu internetu (13)

Lielie tehnoloģiju uzņēmumi “Log4j” izmanto savu lietotņu konfigurācijai. To izmanto “Apple”, drošības uzņēmums “Cloudfare”, un pat viena no pasaulē zināmākajām datorspēlēm “Minecraft” arī izmanto “Log4j” pakalpojumus.

ASV Kiberdrošības un infrastruktūras drošības aģentūras (CISA) pārstāve Džena Īsterlija sacīja, ka atklātā ievainojamība ir viena no nopietnākajām problēmām, kādu viņa redzējusi savā karjerā. Sestdien izplatītajā paziņojumā Īsterlija sacīja, ka “arvien vairāk hakeru aktīvi cenšas izmantot “Log4j” vājās vietas savā labā”. Otrdien attiecībā pret “Log4j” tika reģistrētas vairāk nekā 100 hakeru aktivitātes minūtē, liecina kiberdrošības kompānijas “Check Point” dati.

“Lai pilnībā novērstu šo problēmu, iespējams, būs nepieciešami gadi, tikmēr hakeri ik dienas turpinās meklēt iespējas, kā šo situāciju izmantot savā labā.

Tā ir bumba ar laika degli daudzām kompānijām,” sacīja kiberdrošības kompānijas “TrustedSec” vadītājs Deivids Kenedijs.

Kas ir “Log4j” un kādēļ tas ir svarīgi?

“Log4j” ir viena no populārākajām reģistrācijas datu bibliotēkām tīmeklī, skaidro kiberdrošības eksperti. “Log4j” sniedz programmatūras attīstītājiem iespēju fiksēt dažādas aktivitātes, ko var izmantot dažādiem mērķiem, piemēram, ziņošanai par kļūdām vai datu apstrādei. Tā kā “Log4j” ir atvērtā koda bezmaksas programmatūra, tā faktiski skar visu internetu.

“Tā ir visuresoša tehnoloģija. Pat ja jūs esat programmatūras izstrādātājs, kas tiešā veidā neizmanto “Log4j”, iespējams, ka jūs tāpat izmantojat neaizsargāto koda daļu, jo daļa no atvērtā koda, ko izmantojat, ir tiešā veidā atkarīga no “Log4j”,” skaidroja kiberdrošības firmas “Veracode” galvenais pētnieks Kriss Engs.

Turklāt visas lielākās tehnoloģiju kompānijas, kā “Apple”, IBM, “Oracle”, “Google”, “Cisco” un “Amazon”, darbojas ar šāda veida programmatūru. Programmas kods var būt klātesošs populārās lietotnēs un mājaslapās. Miljoniem ierīču visā pasaulē, kas piekļūst šiem pakalpojumiem, var kļūt par šīs ievainojamības “upuriem”.

Kā hakeri to izmanto?

Ļaundari, ļoti iespējams, par “Log4j” ievainojamību ir uzzinājuši nedēļu pirms par to tika paziņots publiski. Līdz ar to katru dienu ir novērojama pieaugoša interese no hakeriem, un, kā norāda “Cloudflare”, “sliktākais vēl ir tikai priekšā”.

“Šī ievainojamība noteikti nonāks sarežģītāku un attīstītāku uzbrukumu veicēju redzeslokā. Viņi noteikti izdomās veidu, kā šo ievainojamību izmantot tā, lai izdotos gūt vislielāko labumu sev,” skaidro “Check Point” galvenais inženieris Marks Ostrovskis.

Otrdienas vakarā “Microsoft” savā bloga ierakstā sacīja, ka “Log4j” ievainojamību ir centušies izmantot valsts atbalstīti hakeri no Ķīnas, Irānas, Turcijas un pat no Ziemeļkorejas.

Kādēļ atklātā ievainojamība ir tik svarīga?

Eksperti ir īpaši noraizējušies par ievainojamību tāpēc, ka hakeriem var izdoties ļoti viegli piekļūt uzņēmumu datortīkliem, tādējādi ļaujot ļaundariem piekļūt arī slepenai informācijai. Ir arī ļoti grūti atrast ievainojamību un laikus secināt, vai sistēma jau ir apdraudēta. Otrdienas vakarā tika ziņots par vēl vienu nozīmīgu ievainojamību “Log4j” sistēmā. “Apache Software Foundation” - bezpeļņas organizācija, kas ir attīstījusi “Log4j” un citu atvērtā koda programmatūru, ir laidusi klajā drošības atjauninājumu uzņēmumiem.

Kā lielās kompānijas risina šo problēmu?

Pagājušajā nedēļā “Minecraft” izstrādātāji publicēja bloga ierakstu, kurā atzina – aktuālajā spēles versijā ir atrasta problēma, un tā ātri tika labota. Arī citi uzņēmumi ir rīkojušies līdzīgi.

IBM, AWS, “Oracle” un “Cloudflare” ir vērsušās pie klientiem, sniedzot padomus, kā rīkoties hakeru uzbrukuma gadījumā. Tāpat ir laisti klajā dažādi drošības atjauninājumi, kā arī paziņots par plāniem veikt nopietnākus drošības pasākumus.

“Tā ir visai nepatīkama problēma. Tas nav tā, ka “nospied podziņu, atjaunini un viss kārtībā”. Šī nav tāda vienkārša, standarta ievainojamība. Šī problēma noteikti prasīs daudz vairāk laika un pūles, lai to pavisam novērstu,” teica Kenedijs.

Lai nodrošinātu caurspīdīgumu un novērstu dezinformāciju šajā jautājumā, CISA jaunā mājaslapā publicēs gan kompāniju nosaukumus, gan to produktu nosaukumus, kas cietuši no ievainojamības. Tāpat šajā mājaslapā tiks apkopota visa aktuālā informācija par konkrēto produktu atjauninājumiem un to, kā hakeriem līdz šim izdevies ļaunprātīgi izmantot ievainojamību savā labā.

Kā aizsargāt sevi?

Lielākais spiediens steidzami rīkoties ir nevis lietotājiem, bet lielajām kompānijām.

Pašlaik lietotājiem ir maksimāli ātri jāatjaunina savas ierīces, programmatūru un lietotnes, tiklīdz ir pieejama kāda jaunāka versija.

Lielākie tehnoloģiju uzņēmumi norāda, ka dažādi drošības atjauninājumi būs pieejami jau tuvāko dienu laikā.

Kas tālāk?

ASV valdība ir izsludinājusi brīdinājumu tehnoloģiju uzņēmumiem, lai tie ir gatavi strauji reaģēt uz iespējamiem hakeru uzbrukumiem Ziemassvētku brīvdienās. Pastāv bažas, ka “Log4j” ievainojamība tieši svētkos pastiprinās hakeru aktivitāti, tāpēc kompāniju kiberdrošības ekspertiem šie svētki noteikti būs darba pilni.

“Tas, par ko es visvairāk baidos, ir par skolām, slimnīcām un citām iestādēm, kur par visām IT sistēmām atbild tikai viens cilvēks. Visticamāk, ka šim cilvēkam vienkārši fiziski nav laika pievērst uzmanību kiberdrošības jautājumiem,” norāda “Red Canary” izpētes nodaļas direktore Keitija Nikelsa. “Tās ir organizācijas, par ko jāuztraucas visvairāk – mazas organizācijas ar nelielu (vai neesošu) drošības budžetu.”