Найдена уязвимость программного обеспечения, которая угрожает всему интернету

Крупные технологические компании используют Log4j для конфигурации своих приложений. Его используют Apple, компания безопасности Cloudfare. И даже одна из самых известных в мире компьютерных игр Minecraft также использует услуги Log4j.

Представитель Агентства по кибербезопасности и защите инфраструктуры США (CISA) Джен Истерли сказала, что обнаруженная уязвимость является одной из самых серьезных проблем, которую она видела в своей карьере. В распространенном сообщении Истерли сказала, что "все больше хакеров активно стараются использовать слабые места Log4j в свою пользу". Во вторник по отношению к Log4j было зарегистрировано более 100 атак хакеров в минуту, свидетельствуют данные компании кибербезопасности Check Point.

"Чтобы полностью устранить это проблему, возможно, будут необходимы годы, пока хакеры каждый день будут продолжать искать способ, чтобы использовать ситуацию в свою пользу.

Это бомба замедленного действия для многих компаний", - уверен глава компании по кибербезопасности TrustedSec Дэвид Кеннеди.

Что такое Log4j и почему это важно?

Log4j является одной из самых популярных библиотек данных в интернете, поясняют эксперты по кибербезопасности. Log4j предоставляет разработчикам программного обеспечения возможность фиксировать активности, которые могут использоваться для различных целей, например, для оповещения об ошибках или обработке данных. Так как Log4j является бесплатным программным обеспечением открытого кода, он фактически затрагивает весь Интернет.

"Это вездесущая технология. Даже если вы разработчик программного обеспечения, который прямо не использует Log4j, возможно, вы все равно используете незащищенную часть кода, поскольку часть открытого кода напрямую зависит от Log4j", - поясняет главный исследователь компании по кибербезопасности Veracode Крис Энг.

Причем все крупнейшие технологические компании, такие как Apple, IBM, Oracle, Google, Cisco и Amazon, работают с программным обеспечением такого же вида. Код приложения может присутствовать на популярных сайтах и домашних страницах. Миллионы устройств во всем мире, получающие эти услуги, могут стать "жертвами" этой уязвимости.

Как хакеры ее используют?

Злоумышленники, очень возможно, узнали об уязвимости Log4j за неделю до того, как об этом сообщили публично. Таким образом, каждый день наблюдается растущий интерес хакеров, и, как отмечает Cloudflare, "худшее еще впереди".

"Эта уязвимость, несомненно, попадет в поле зрения хакеров, проводящих более сложные и более развитые атаки. Они наверняка придумают, как использовать эту уязвимость таким образом, чтобы добиться наибольшего блага для себя", - поясняет главный инженер Check Point Марк Островскис.

Во вторник вечером Microsoft в своем блоге написал, что уязвимость Log4j попытались использовать поддерживаемые государством хакеры из Китая, Ирана, Турции и даже из Северной Кореи.

Почему найденная уязвимость так важна?

Эксперты особо обеспокоены уязвимостью, потому что хакеры могут очень легко получить доступ к компьютерным сетям предприятий, что позволит злодеям получить доступ к секретной информации. Очень трудно найти уязвимость и вовремя сделать вывод, что система уже под угрозой. Во вторник вечером было объявлено о еще одной важной уязвимости в системе Log4j. Apache Software Foundation - бесприбыльная организация, которая разработала Log4j и другие программные обеспечения открытого кода, выпустила обновление безопасности для предприятий.

Как большие компании решают эту проблему?

На прошлой неделе разработчики Minecraft опубликовали запись в блоге, в которой признали - в актуальной версии игры обнаружена проблема, и она быстро исправляется. Другие компании действовали схожим образом.

IBM, AWS, Oracle и Cloudflare обратились к клиентам, давая советы, как действовать в случае нападения хакеров. Выпущены различные обновления безопасности, а также сообщено о планах принять более серьезные меры безопасности.

"Это очень неприятная проблема. Это не то, что "нажми кнопку, обнови и все в порядке". Это не простая, стандартная уязвимость. Эта проблема обязательно потребует много времени и усилий, чтобы ее полностью устранить", – сказал Кеннеди.

Чтобы обеспечить прозрачность и устранить дезинформацию по этому вопросу, CISA на новой домашней странице будут публиковать названия компаний и названия тех продуктов, которые пострадали от уязвимости. Также на этом сайте будет обобщена вся актуальная информация об обновлениях конкретных продуктов и о том, как хакеры до сих пор смогли злонамеренно использовать уязвимость.

Как защитить себя?

Наибольшее давление срочно действовать ощущают не пользователи, а крупные компании.

В настоящее время пользователи должны как можно быстрее обновить свои устройства, программное обеспечение и приложения, как только будет доступна более поздняя версия.

Крупнейшие технологические предприятия отмечают, что различные обновления безопасности будут доступны уже в ближайшие дни.

Что дальше?

Правительство США объявило предупреждение технологическим предприятиям, чтобы они готовы были быстро реагировать на возможные нападения хакеров во время рождественских каникул. Существует опасение, что уязвимость Log4j усилит активность хакеров непосредственно во время праздников, поэтому у экспертов по кибербезопасности время на отдых не будет.

"Больше всего я боюсь за школы, больницы и другие заведения, где за все IT-системы отвечает один человек. Скорее всего, у него просто физически нет времени обращать внимание на все вопросы кибербезопасности", - указала директор отдела исследований Red Canary Кейти Никелс. - "Это организации, о которых нужно беспокоиться больше всего - малые организации с небольшим (или отсутствующим) бюджетом безопасности".