Minecraft에서 시연된 중요한 Apache Log4j 익스플로잇

지난 주말은 서버 관리자에게 좋지 않은 시간이었습니다. Apache Log4j에서 치명적인 취약점이 나타났습니다. 큰 문제? 공격자는 Twitter에서 iCloud에 이르기까지 모든 종류의 응용 프로그램에서 공격자가 선택한 코드를 실행하는 데 사용하는 오픈 소스 Java 패키지를 악용할 수 있습니다.

그것은 소리만큼 무섭습니다.

Apache Log4j 익스플로잇이 당신과 나에게 의미하는 것

나는 Huntress Labs의 사이버 보안 연구원인 John Hammond와 악용과 피해를 완화하기 위한 후속 조치에 대해 이야기했습니다. Hammond는 자신의 YouTube 채널을 위해 Minecraft 서버에서 익스플로잇을 재현했으며 결과는 폭발적이었습니다.

트윗

Q: 이 익스플로잇은 무엇입니까? 평신도의 관점에서 무슨 일이 일어나고 있는지 설명할 수 있습니까?

A: 이 익스플로잇을 통해 악의적인 사용자는 한 줄의 텍스트로 컴퓨터를 제어할 수 있습니다. 일반인의 관점에서 보면 로그 파일은 새 항목을 검색하지만 로그 파일 내부의 데이터를 읽고 실제로 실행합니다. 특별히 조작된 입력을 통해 피해자 컴퓨터는 별도의 악성 장치에 접근하여 연결하여 공격자가 준비한 모든 사악한 작업을 다운로드하고 실행합니다.

Q: Minecraft에서 이 익스플로잇을 복제하는 것이 얼마나 어려웠습니까?

A: 이 취약점과 악용은 설정하기가 쉽지 않기 때문에 악의적인 사용자에게 매우 매력적인 옵션이 됩니다. 내가 선보인 이것이 Minecraft에서 어떻게 재창조되었는지를 보여주는 비디오 연습, 그리고 "공격자의 관점"은 그들이 무엇을 하고 있고 무엇을 필요로 하는지 알고 있는 경우 설정하는 데 10분 정도 걸립니다.

Q: 누가 이것의 영향을 받습니까?

A: 궁극적으로 모든 사람이 어떤 식으로든 이것의 영향을 받습니다. 모든 사람이 이 취약점이 어딘가에 숨겨져 있는 소프트웨어나 기술과 상호 작용할 가능성이 매우 높고 거의 확실합니다. 

우리는 Amazon, Tesla, Steam, 심지어 Twitter 및 LinkedIn과 같은 것들에서 취약점의 증거를 보았습니다. 불행히도 우리는 이 취약점의 영향을 매우 오랫동안 보게 될 것이며 일부 레거시 소프트웨어는 요즘 유지 관리되지 않거나 업데이트를 푸시할 수 있습니다.

Q: 영향을 받는 당사자는 시스템을 안전하게 유지하기 위해 무엇을 해야 합니까?

A: 솔직히 개인은 자신이 사용하는 소프트웨어와 응용 프로그램에 대해 잘 알고 있어야 하며 "[that-software-name] log4j"에 대한 간단한 Google 검색을 수행하고 해당 공급업체 또는 공급자가 이 새로운 알림에 대한 조언을 공유했는지 확인해야 합니다. 위협. 

이 취약점은 전체 인터넷 및 보안 환경을 뒤흔들고 있습니다. 사람들은 제공자로부터 최신 보안 업데이트가 제공되는 즉시 다운로드해야 하며 여전히 업데이트를 기다리고 있는 응용 프로그램을 경계해야 합니다. 그리고 물론 보안은 여전히 ​​잊을 수 없는 기본적인 기본 사항으로 귀결됩니다. 견고한 바이러스 백신을 실행하고 길고 복잡한 암호를 사용하고(디지털 암호 관리자를 강력히 권장합니다!) 컴퓨터 앞에서.

당신이 읽고있는 것처럼? 매주 받은 편지함으로 배달되는 것을 좋아할 것입니다. SecurityWatch 뉴스레터에 가입하십시오.

경찰 + 데이터 브로커 = 법적 허점

옛날 영화 속 범죄자들은 ​​법의 옳고 그름을 모두 알고 있었습니다. 경찰관이 문을 부수겠다고 위협하면 그들은 그저 웃으면서 이렇게 말할 것입니다. “오, 그래요? 영장을 가지고 돌아오시오.”

오늘날의 현실에서 경찰은 데이터 브로커로부터 정보를 구매할 수 있다면 데이터에 대한 영장을 받기 위해 애쓸 필요가 없습니다. 이제 우리는 위법 행위를 낭만적으로 생각하는 사람이 아니지만, 권력 남용 가능성도 좋아하지 않습니다.

PCMag의 Rob Pegoraro가 쓴 것처럼 데이터 브로커는 개인 시민에 대해 수집된 정보의 판매를 허용함으로써 수정헌법 XNUMX조를 우회할 수 있는 방법을 법 집행 기관과 정보 기관에 제공합니다. FBI는 한 예에서 "사전 조사 활동"을 위해 데이터 브로커와 계약을 체결했습니다.

복잡한 앱 개인 정보 보호 정책과 데이터 브로커 이용약관 덕분에 일반 미국 시민은 휴대전화의 위치 데이터가 법 집행 데이터베이스에 어떻게 들어가는지 모를 것입니다. 저것이 당신을 방해하나요? 그렇다면 문제를 직접 해결하고 소스에서 데이터 수집을 중지해야 합니다. Apple과 Google이 제공하는 위치 개인 정보 보호 기능을 사용하여 사용자의 위치를 ​​비밀로 유지하십시오. apps. iOS는 사용자가 자신의 위치를 ​​모르는 앱을 허용하고 Google의 Android 12는 유사한 컨트롤을 추가합니다.

이번 주 보안 세계에서는 또 어떤 일이 벌어지고 있습니까?