Exploatare critică Apache Log4j demonstrată în Minecraft

Weekendul trecut a fost un moment prost pentru a fi administrator de server. O vulnerabilitate critică a apărut în Apache Log4j. Marea problemă? Atacatorii au șansa de a exploata pachetul Java open-source pe care toate tipurile de aplicații, de la Twitter la iCloud, îl folosesc pentru a executa orice cod pe care îl alege un atacator.

E pe cât de înfricoșător pare.

Ce înseamnă exploatarea Apache Log4j pentru tine și pentru mine

Am vorbit cu cercetătorul în securitate cibernetică John Hammond de la Huntress Labs despre exploit și lupta ulterioară pentru a atenua daunele. Hammond a recreat exploit-ul pe un server Minecraft pentru canalul său de YouTube, iar rezultatele au fost explozive.

Tweet

Î: Ce este acest exploit? Puteți explica ce se întâmplă în termeni profani?

R: Acest exploit permite actorilor răi să obțină controlul asupra unui computer cu o singură linie de text. În termeni simpli, un fișier jurnal preia o nouă intrare, dar se întâmplă să citească și să se execute efectiv pe baza datelor din fișierul jurnal. Cu o intrare special concepută, un computer victimă s-ar adresa și se va conecta la un dispozitiv rău intenționat separat pentru a descărca și executa orice acțiuni nefaste pe care le-a pregătit adversarul.

Î: Cât de greu a fost să reproduc acest exploit în Minecraft?

R: Această vulnerabilitate și exploatare sunt triviale de configurat, ceea ce o face o opțiune foarte atractivă pentru actorii răi. Am prezentat o prezentare video care demonstrează cum aceasta a fost recreată în Minecraft, iar „perspectiva atacatorului” durează poate 10 minute pentru a se configura dacă știu ce fac și de ce au nevoie.

Î: Cine este afectat de asta?

R: În cele din urmă, toată lumea este afectată de acest lucru într-un fel sau altul. Există o șansă extrem de mare, aproape sigură, ca fiecare persoană să interacționeze cu un software sau tehnologie care are această vulnerabilitate ascunsă undeva. 

Am văzut dovezi ale vulnerabilității în lucruri precum Amazon, Tesla, Steam, chiar și Twitter și LinkedIn. Din păcate, vom vedea impactul acestei vulnerabilități pentru o perioadă foarte lungă de timp, în timp ce unele software-uri vechi ar putea să nu fie întreținute sau să împingă actualizări în aceste zile.

Î: Ce trebuie să facă părțile afectate pentru a-și menține sistemele în siguranță?

R: Sincer, persoanele ar trebui să fie la curent cu software-ul și aplicațiile pe care le folosesc și chiar să facă o căutare simplă pe Google pentru „[that-software-name] log4j” și să verifice dacă acel furnizor sau furnizor a distribuit vreun aviz pentru notificări cu privire la acest nou amenințare. 

Această vulnerabilitate zguduie întregul peisaj al internetului și al securității. Oamenii ar trebui să descarce cele mai recente actualizări de securitate de la furnizorii lor cât de repede sunt disponibile și să rămână vigilenți la aplicațiile care încă așteaptă o actualizare. Și, desigur, securitatea încă se rezumă la elementele de bază simple pe care nu le puteți uita: rulați un antivirus solid, utilizați parole lungi și complexe (un manager digital de parole este recomandat!) și fiți mai ales conștienți de ceea ce este prezentat în în fața ta pe computer.

Îți place ceea ce citești? Îți va plăcea să fie livrat săptămânal în căsuța de e-mail. Înscrieți-vă pentru buletinul informativ SecurityWatch.

Polițiști + Brokeri de date = Lacune legale

Criminalii din filmele vechi și-au știut întotdeauna drumul în jurul părții corecte și greșite a legii. Dacă un ofițer de poliție amenința că le sparge ușa, ar zâmbi și ar spune: „Oh, da? Întoarce-te cu un mandat.”

În realitatea de astăzi, poliția nu trebuie să se obosească să obțină un mandat pentru datele dvs. dacă poate cumpăra informațiile de la un broker de date. Acum, nu suntem cei care romantizează încălcarea legii, dar nici nu ne plac eventualele abuzuri de putere.

După cum scrie Rob Pegoraro de la PCMag, brokerii de date oferă agențiilor de aplicare a legii și de informații modalități de a ocoli cel de-al patrulea amendament, permițând vânzarea informațiilor colectate despre cetățenii privați. FBI a semnat un contract cu un broker de date pentru „activități pre-investigative”, într-un exemplu.

Datorită politicilor de confidențialitate a aplicațiilor complicate și termenilor și condițiilor brokerului de date, cetățeanul american de rând probabil nu știe cum intră datele despre locația telefonului său într-o bază de date a forțelor de ordine. Asta te deranjează? Dacă da, este timpul să iei lucrurile în propriile mâini și să oprești colectarea datelor la sursă. Utilizați funcțiile de confidențialitate a locației oferite de Apple și Google pentru a păstra locația dvs. secretă față de dvs apps. iOS le permite utilizatorilor să împiedice orice aplicație să-și cunoască locația, iar Android 12 de la Google adaugă controale similare.

Ce se mai întâmplă în lumea securității în această săptămână?