От Minecraft до iCloud: миллионы серверов оказались уязвимы для простого взлома — в том числе и в Эстонии
(2)
Специалисты по компьютерной безопасности в IT-гигантах и небольших компаниях вторые сутки работают над устранением ранее неизвестной уязвимости, получившей название Log4Shell. Она позволяет хакерам даже невысокой квалификации скомпрометировать миллионы устройств, работающих в интернете, передают "Вести".
Как пишет The Verge, Log4Shell позволяет удаленно запустить на уязвимом сервере любой вредоносный код, получив полный контроль над устройством и доступ к данным на нем. Дыра была обнаружена в опенсорсной библиотеке log4j, широко применяемой онлайновыми приложениями и сервисами для формирования логов (отчетов о происходящем в системе).
По словам Маркуса Хатчинса — киберисследователя, благодаря усилиям которого в свое время была остановлена эпидемия вируса WannaCry — уязвимость Log4Shell затрагивает буквально миллионы приложений, так как почти все они используют для записи логов именно компонент log4j. Чтобы запустить взлом, хакер заставляет этот компонент записать в лог определенную последовательность символов.
Департамент государственной инфосистемы Эстонии (RIA) сообщает, что уязвимость ставит под угрозу все предприятия и учреждения в Эстонии, пользующиеся данной услугой. RIA советует предприятиям проверить, повлияла ли на них как-то данная уязвимость, и при необходимости применить контрмеры.
Впервые эксплойт был замечен в действии на серверах игры Minecraft: выяснилось, что взломать систему можно было просто сообщением в чате. За считанные часы информация разлетелась по хакерским форумам, и были созданы первые вредоносные инструменты на основе Log4Shell. В компании GreyNoise сообщили, что выявили в сети многочисленные серверы, ищущие подключенные к интернету системы с данной уязвимостью.
В блоге киберисследовательской компании LunaSec утверждалось, что уязвимыми оказались, среди прочих, игровая платформа Steam и облачный сервис Apple iCloud. Ни владеющая Steam компания Valve, ни Apple не прокомментировали эти сообщения.
Отмечается, что от Log4Shell не защищают обычные фаерволы. Теоретически атаку можно даже провернуть, не пересылая данные по интернету, в отношении любого устройства со сканером графических кодов. Для этого строку-"отмычку" достаточно зашифровать в виде QR- или штрихового кода, который затем будет отсканирован — например, компанией осуществляющей доставку посылок.
Версия библиотеки log4j с устраненной уязвимостью уже выпущена. Однако для установки патча нужно вмешательство системного администратора, и на защиту всех уязвимых серверов может уйти много времени.
