Minecraft'ta Gösterilen Kritik Apache Log4j Exploit

Geçen hafta sonu sunucu yöneticisi olmak için kötü bir zamandı. Apache Log4j'de kritik bir güvenlik açığı ortaya çıktı. Büyük sorun? Saldırganlar, Twitter'dan iCloud'a kadar her türlü uygulamanın, saldırganın seçtiği herhangi bir kodu yürütmek için kullandığı açık kaynaklı Java paketinden yararlanma şansına sahiptir.

Kulağa geldiği kadar korkutucu.

Apache Log4j Exploit'in Sizin ve Benim İçin Anlamı

Huntress Labs'den siber güvenlik araştırmacısı John Hammond ile istismar ve ardından hasarı azaltmak için yapılan mücadele hakkında konuştum. Hammond, YouTube kanalı için bir Minecraft sunucusunda bu açığı yeniden yarattı ve sonuçlar inanılmazdı.

Twitter

S: Bu istismar nedir? Neler olduğunu meslekten olmayanların terimleriyle açıklayabilir misiniz?

C: Bu istismar, kötü niyetli kişilerin tek bir metin satırıyla bir bilgisayarın kontrolünü ele geçirmesine olanak tanır. Layman'ın terimleriyle, bir günlük dosyası yeni bir giriş alıyor, ancak günlük dosyasındaki verileri okuyor ve fiilen yürütüyor. Özel olarak hazırlanmış girdilerle, kurbanın bilgisayarı, düşmanın hazırladığı her türlü hain eylemi indirmek ve yürütmek için ayrı bir kötü amaçlı cihaza ulaşır ve bağlanır.

S: Bu açığı Minecraft'ta tekrarlamak ne kadar zordu?

C: Bu güvenlik açığı ve istismarın kurulması önemsizdir, bu da onu kötü oyuncular için çok çekici bir seçenek haline getirir. sergiledim bunun Minecraft'ta nasıl yeniden oluşturulduğunu gösteren bir video kılavuzuve "saldırganın bakış açısı", neyin peşinde olduklarını ve neye ihtiyaçları olduğunu biliyorlarsa, ayarlanması belki 10 dakika sürer.

S: Bundan kimler etkileniyor?

C: Sonuçta, herkes bir şekilde bundan etkilenir. Herkesin, bu güvenlik açığını bir yere saklamış bir yazılım veya teknolojiyle etkileşime girme olasılığı son derece yüksek, neredeyse kesin. 

Amazon, Tesla, Steam, hatta Twitter ve LinkedIn gibi şeylerde güvenlik açığının kanıtlarını gördük. Ne yazık ki, bu güvenlik açığının etkisini çok uzun bir süre göreceğiz, ancak bu günlerde bazı eski yazılımlar korunmayabilir veya güncellemeleri zorlayabilir.

S: Etkilenen tarafların sistemlerini güvende tutmak için ne yapmaları gerekiyor?

C: Dürüst olmak gerekirse, bireyler kullandıkları yazılım ve uygulamalardan haberdar olmalı ve hatta "[o-yazılım-adı] log4j" için basit bir Google araması yapmalı ve bu satıcı veya sağlayıcının bu yeni ile ilgili bildirimler için herhangi bir tavsiye paylaşıp paylaşmadığını kontrol etmelidir. tehdit. 

Bu güvenlik açığı tüm İnternet ve güvenlik ortamını sarsıyor. Kullanıcılar, sağlayıcılarından en son güvenlik güncellemelerini mümkün olduğu kadar çabuk indirmeli ve hala güncelleme bekleyen uygulamalar konusunda tetikte olmalıdır. Ve elbette, güvenlik hala unutamayacağınız basit temellere dayanıyor: sağlam bir antivirüs çalıştırın, uzun, karmaşık şifreler kullanın (dijital bir şifre yöneticisi şiddetle tavsiye edilir!) ve özellikle ne sunulduğunun farkında olun. bilgisayarınızda önünüzde.

Okuduğun gibi mi? Haftalık gelen kutunuza teslim edilmesini seveceksiniz. SecurityWatch bültenine kaydolun.

Polisler + Veri Komisyoncuları = Yasal Açıklıklar

Eski filmlerdeki suçlular her zaman yasanın hem doğru hem de yanlış taraflarını bilirlerdi. Bir polis memuru kapılarını kırmakla tehdit ederse, sadece sırıtarak “Ah, öyle mi? Arama emriyle gel."

Bugünün gerçekliğinde, polisin bilgiyi bir veri komisyoncusundan satın alabiliyorsa, verileriniz için izin almakla uğraşmasına gerek yok. Şimdi, kanunları çiğnemeyi romantikleştirenlerden değiliz, ancak olası güç suistimallerinden de hoşlanmıyoruz.

PCMag'den Rob Pegoraro'nun yazdığı gibi, veri simsarları, özel vatandaşlar hakkında toplanan bilgilerin satışına izin vererek kolluk kuvvetlerine ve istihbarat teşkilatlarına Dördüncü Değişikliği aşmanın yollarını sağlıyor. FBI, bir örnekte "ön araştırma faaliyetleri" için bir veri komisyoncusu ile sözleşme imzaladı.

Karmaşık uygulama gizlilik politikaları ve veri komisyoncusu hüküm ve koşulları sayesinde, ortalama bir Amerikan vatandaşı muhtemelen telefonunun konum verilerinin bir kanun uygulama veritabanına nasıl girdiğini bilmiyor. Bu seni rahatsız ediyor mu? Eğer öyleyse, meseleleri kendi elinize almanın ve veri toplamayı kaynağında durdurmanın zamanı geldi. Konumunuzu sizden gizli tutmak için Apple ve Google'ın sunduğu konum gizliliği özelliklerini kullanın. apps. iOS, kullanıcıların herhangi bir uygulamanın konumlarını bilmesini engeller ve Google'ın Android 12'si benzer kontroller ekler.

Güvenlik Dünyasında Bu Hafta Başka Neler Oluyor?