Log4Shellの重大なセキュリティ上の欠陥により、ハッカーは脆弱なサーバーを危険にさらすことができます

ApacheはLog4j 2ライブラリの脆弱性にパッチを適用しましたが、攻撃者は悪意のあるコードをリモートで実行できる保護されていないサーバーを探しています。

Apacheの人気のある製品に深刻なセキュリティの脆弱性があるため、サイバー犯罪者が影響を受けやすいサーバーを攻撃しようとする水門が開かれました。木曜日に、Javaアプリケーションのリクエストをログに記録するために何百万人もの人々が使用するユーティリティであるApacheのLog4j2に欠陥が明らかになりました。 Log4Shellという名前のこの脆弱性により、攻撃者は影響を受けるサーバーを制御できる可能性があります。この状況では、ハッカーは、悪意のあるコードをリモートで実行できるパッチが適用されていないシステムをスキャンするようになっています。

参照：パッチ管理ポリシー(TechRepublic Premium)

この問題は、さまざまな理由ですぐに懸念を引き起こしました。 Log4jライブラリは世界中で広く使用されているため、膨大な数のJavaアプリケーションと関連システムが危険にさらされています。攻撃者は1行のJavaコードをログに挿入するだけでよいため、この欠陥は簡単に悪用できます。

CERT New Zealandやその他の組織は、この脆弱性が実際に悪用されていると報告しています。その概念実証コードは、セキュリティの弱点の証拠として公開されています。

米国国立標準技術研究所(NIST)は、CVEとして知られるこの脆弱性を与えています-2021-44228、重大度スコア10out of10。最高のスコアとして、これは欠陥の深刻な性質を示しています。これは、悪用するのに技術的な知識がほとんど必要なく、ユーザーからの知識や入力なしにシステムを危険にさらす可能性があるためです。

“これの深刻な危険性「log4j」パッケージは非常に普及しているということです。ApacheStruts、Solr、DruidなどのApacheソフトウェアや、他のテクノロジー[such as]Redis、ElasticSearch、さらにはMinecraftなどのビデオゲームでも使用されます」とシニアセキュリティのジョンハモンドは述べています。 Huntressの研究者。「Apple、Twitter、Steam、Teslaなど、メーカーやプロバイダーのさまざまなWebサイトが影響を受けることがわかっています。最終的には、何百万ものアプリケーションがlog4jsをログに使用します。攻撃をトリガーするために悪意のある攻撃者が提供する必要があるのは、 text。 “

ApacheはすでにLog4Shellエクスプロイトにパッチを適用しています。 log4jライブラリを使用する人は、すぐにバージョンLog4j 2にアップグレードすることをお勧めします。15。0。ただし、ハッカーは、組織が重大なセキュリティ上の欠陥でさえパッチを適用するのに時間がかかることが多いことを知っています。そのため、攻撃者はパッチが適用されていないシステムを必死に探しています。 Oracle、Cisco、VMwareなどの他のベンダーは、自社製品を保護するためのパッチを発行しています。

十分な速さでアップグレードできない人のために、セキュリティ会社Cybereasonはいわゆる「ワクチン」をリリースしました。 Log4Shellの欠陥の場合、バグが悪用されるのを防ぎます。同社によれば、GitHubで無料で入手できるこの修正プログラムを有効にするには、基本的なJavaスキルだけが必要です。ただし、最終的には、パッチを適用したバージョンのLog4jをインストールすることが、システムを保護するための最も効果的な手段です。

リモートエンドポイントとサーバーのいずれかが最初に欠陥の影響を受けやすいかどうかを特定することもできます。、セキュリティプロバイダーLunaSecからのブログ投稿で説明されているように。同社は、DNSクエリを実行して、サーバーにリモートコードをフェッチさせ、脆弱性がトリガーされたかどうかを通知することを提案しています。さらに役立つのは、GitHubでアクセス可能なリストが追加のリソースを提供し、この欠陥に対して脆弱な多くのアプリケーションのいくつかを明らかにすることです。

参照： NISTサイバーセキュリティフレームワーク：専門家向けのチートシート(無料PDF)(TechRepublic)

パッチを適用しても、これは、当面の間、組織やユーザーに影響を与えると予想される深刻なセキュリティ問題になりつつあります。

“これは、今後も続く固有の問題になる可能性があります。短期的には、セキュリティチームとインフラストラクチャチームが、今後数週間から数か月にわたって脆弱なマシンを見つけてパッチを適用するために競争します」と、DigitalShadowsの上級サイバー脅威インテリジェンスアナリストであるSeanNikkelは述べています。「同様に、セキュリティチームは、インターネット全体で脆弱なインフラストラクチャを探す敵対者のスキャンの増加と、今後数日間のエクスプロイトの試みを期待する必要があります。」

最新のパッチが適用されたバージョンのLog4jをインストールする以外に、この最新のセキュリティ上の欠陥と一般的なJavaの脆弱性の両方について、組織が取るべき他の手順があります。

「間違いなく、これは私たちがここ数年で見た中で最大のJavaの脆弱性です」と述べています。 ContrastSecurityの共同創設者兼チーフサイエンティストであるArshanDabirsiaghi氏。「これは絶対に残酷です。チームが今答えるべき3つの主要な質問があります。これは私にどのような影響を与えますか、悪用を防ぐために今すぐ影響を軽減するにはどうすればよいですか、将来の悪用を防ぐためにこの問題や同様の問題をどのように見つけることができますか？」