Kritikus Apache Log4j Exploit demonstrálva a Minecraftban

A múlt hétvége rossz időszak volt szerveradminisztrátornak. Kritikus sérülékenység jelent meg az Apache Log4j-ben. A nagy probléma? A támadóknak lehetőségük van kihasználni a nyílt forráskódú Java-csomagot, amelyet a Twittertől az iCloudig mindenféle alkalmazás használ a támadó által választott kód futtatására.

Ez olyan ijesztő, mint amilyennek hangzik.

Mit jelent az Apache Log4j Exploit Önnek és nekem?

Beszéltem John Hammond kiberbiztonsági kutatóval, a Huntress Labs munkatársával a kizsákmányolásról és az azt követő tülekedésről a károk enyhítésére. Hammond egy Minecraft szerveren hozta létre újra a kizsákmányolást a YouTube-csatornája számára, és az eredmények robbanásszerűek voltak.

Tweet

K: Mi ez az exploit? El tudnád magyarázni, mi történik laikus fogalmakkal?

V: Ez a kizsákmányolás lehetővé teszi a rossz szereplők számára, hogy egyetlen szövegsorral megszerezzék az irányítást a számítógép felett. Laikus kifejezéssel élve a naplófájl új bejegyzést kér le, de történetesen a naplófájlon belüli adatokat olvassa és hajtja végre. Speciálisan kialakított bevitellel az áldozat számítógépe eléri és csatlakozik egy külön rosszindulatú eszközhöz, hogy letöltse és végrehajtsa az ellenfél által előkészített aljas műveleteket.

K: Mennyire volt nehéz megismételni ezt a kizsákmányolást a Minecraftban?

V: Ezt a sebezhetőséget és kizsákmányolást triviális beállítani, ezért nagyon vonzó lehetőség a rossz színészek számára. bemutattam egy videós végigjátszás, amely bemutatja, hogyan hozták ezt újra a Minecraftban, és a „támadó perspektívájának” beállítása talán 10 percet vesz igénybe, ha tudják, mire készül, és mire van szüksége.

K: Kit érint ez?

V: Végső soron mindenkit érint ez valamilyen módon. Rendkívül nagy az esély, szinte biztos, hogy mindenki interakcióba lép valamilyen szoftverrel vagy technológiával, amelynél ez a sérülékenység valahol el van rejtve. 

Láttunk bizonyítékot a sebezhetőségre olyan dolgokban, mint az Amazon, a Tesla, a Steam, sőt a Twitter és a LinkedIn is. Sajnos ennek a sérülékenységnek a hatását nagyon sokáig fogjuk látni, miközben előfordulhat, hogy egyes régebbi szoftvereket nem karbantartanak, vagy nem küldenek frissítéseket manapság.

K: Mit kell tenniük az érintett feleknek rendszereik biztonsága érdekében?

V: Őszintén szólva, az egyéneknek tisztában kell lenniük az általuk használt szoftverekkel és alkalmazásokkal, sőt, egy egyszerű Google-keresést kell végezniük a „[that-software-name] log4j” kifejezésre, és ellenőrizniük kell, hogy az adott szállító vagy szolgáltató megosztott-e tanácsokat az újdonsággal kapcsolatos értesítésekre vonatkozóan. fenyegetés. 

Ez a sérülékenység felrázza az egész internetes és biztonsági környezetet. Az embereknek a lehető leggyorsabban kell letölteniük szolgáltatóiktól a legújabb biztonsági frissítéseket, és figyelniük kell a még frissítésre váró alkalmazásokat. És természetesen a biztonság továbbra is a csupasz alapokon múlik, amelyeket nem szabad elfelejteni: futtasson egy megbízható víruskeresőt, használjon hosszú, összetett jelszavakat (a digitális jelszókezelő használata erősen ajánlott!), és különösen ügyeljen a előtted a számítógépeden.

Mint amit olvasol? Imádni fogja, ha hetente kézbesítik a postaládájába. Iratkozzon fel a SecurityWatch hírlevélre.

Zsaruk + adatközvetítők = Jogi kiskapuk

A bűnözők a régi filmekben mindig tisztában voltak a jog helyes és rossz oldalával. Ha egy rendőr azzal fenyegetőzött, hogy betöri az ajtót, csak elmosolyodtak, és azt mondták: „Ó, igen? Gyere vissza egy végzéssel.”

A mai valóságban a rendőrségnek nem kell azzal bajlódnia, hogy az Ön adataira kiadja az engedélyt, ha megvásárolhatja az információt egy adatközvetítőtől. Nos, nem vagyunk azok, akik romantikáznák a törvénysértést, de nem szeretjük az esetleges hatalommal való visszaéléseket sem.

Ahogy a PCMag munkatársa, Rob Pegoraro írja, az adatbrókerek a bűnüldöző és hírszerző ügynökségek számára módokat kínálnak a negyedik módosítás megkerülésére azáltal, hogy lehetővé teszik a magánszemélyekről gyűjtött információk értékesítését. Az egyik példában az FBI szerződést írt alá egy adatbrókerrel „nyomozás előtti tevékenységekre”.

Az alkalmazások bonyolult adatvédelmi szabályzatának és az adatközvetítői feltételeknek köszönhetően az átlagos amerikai állampolgár valószínűleg nem tudja, hogyan kerülnek telefonja helyadatai a bűnüldözési adatbázisba. Ez zavar téged? Ha igen, itt az ideje, hogy saját kezébe vegye a dolgokat, és leállítsa az adatgyűjtést a forrásnál. Használja az Apple és a Google által kínált helyadatvédelmi funkciókat, hogy titokban tartsa tartózkodási helyét apps. Az iOS lehetővé teszi, hogy a felhasználók megakadályozzák, hogy bármely alkalmazás ismerje a tartózkodási helyét, a Google Android 12-je pedig hasonló vezérlőket ad hozzá.

Mi történik még ezen a héten a biztonsági világban?