Folje kryesore
- Mijëra serverë dhe shërbime në internet janë ende të ekspozuar ndaj cenueshmërisë së rrezikshme dhe lehtësisht të shfrytëzueshme loj4j, gjeni studiues.
- Ndërsa kërcënimet kryesore janë vetë serverët, serverët e ekspozuar mund të vënë në rrezik edhe përdoruesit fundorë, sugjerojnë ekspertët e sigurisë kibernetike.
- Fatkeqësisht, shumica e përdoruesve mund të bëjnë pak për të zgjidhur problemin, përveçse të ndjekin praktikat më të mira të sigurisë në desktop.
Dënueshmëria e rrezikshme log4J refuzon të vdesë, edhe disa muaj pasi u vu në dispozicion një rregullim për defektin lehtësisht të shfrytëzueshëm.
Kërkuesit e sigurisë kibernetike në Rezilion zbuluan së fundmi mbi 90,000 aplikacione të cenueshme që përballen me internetin, duke përfshirë mbi 68,000 serverë potencialisht të cenueshëm Minecraft, administratorët e të cilëve nuk i kanë aplikuar ende arnimet e sigurisë, duke i ekspozuar ata dhe përdoruesit e tyre ndaj sulmeve kibernetike. Dhe ka pak që mund të bësh për këtë.
"Fatkeqësisht, log4j do të na ndjekë përdoruesit e internetit për një kohë të gjatë," i tha Lifewire përmes emailit Harman Singh, Drejtor në ofruesin e shërbimit të sigurisë kibernetike Cyphere. "Meqenëse kjo çështje shfrytëzohet nga ana e serverit, [njerëzit] nuk mund të bëjnë shumë për të shmangur ndikimin e një kompromisi të serverit."
The Haunting
Dënueshmëria, e quajtur Log4 Shell, u detajua për herë të parë në dhjetor 2021. Në një konferencë telefonike në atë kohë, drejtoresha e agjencisë amerikane të sigurisë kibernetike dhe sigurisë së infrastrukturës (CISA), Jen Easterly, e përshkroi cenueshmërinë si "një nga më serioze që kam parë në të gjithë karrierën time, nëse jo më seriozja."
Në një shkëmbim emaili me Lifewire, Pete Hay, Udhëheqës udhëzues në kompaninë e testimit dhe trajnimit të sigurisë kibernetike SimSpace, tha se shtrirja e problemit mund të matet nga përpilimi i shërbimeve dhe aplikacioneve të cenueshme nga shitësit e njohur si Apple, Steam., Twitter, Amazon, LinkedIn, Tesla dhe dhjetëra të tjerë. Çuditërisht, komuniteti i sigurisë kibernetike u përgjigj me forcë të plotë, me Apache-n që nxori një rregullim pothuajse menjëherë.
Duke ndarë gjetjet e tyre, studiuesit e Rezilion shpresuan që shumica, nëse jo të gjithë, serverët e cenueshëm do të ishin rregulluar, duke pasur parasysh sasinë masive të mbulimit mediatik rreth defektit. “Kemi gabuar”, shkruajnë studiuesit e habitur. "Fatkeqësisht, gjërat janë larg idealit dhe shumë aplikacione të cenueshme ndaj Log4 Shell ekzistojnë ende në natyrë."
Kërkuesit gjetën raste të cenueshme duke përdorur motorin e kërkimit Shodan Internet of Things (IoT) dhe besojnë se rezultatet janë vetëm maja e ajsbergut. Sipërfaqja aktuale e sulmit të cenueshëm është shumë më e madhe.
A jeni në rrezik?
Megjithë sipërfaqen mjaft domethënëse të ekspozuar të sulmit, Hay besonte se ka disa lajme të mira për përdoruesin mesatar të shtëpisë. "Shumica e këtyre dobësive [Log4J] ekzistojnë në serverët e aplikacioneve dhe për këtë arsye nuk ka gjasa të ndikojnë në kompjuterin tuaj të shtëpisë," tha Hay.
Megjithatë, Jack Marsal, Drejtor i Lartë, Marketingu i Produkteve me shitësin e sigurisë kibernetike WhiteSource, vuri në dukje se njerëzit ndërveprojnë me aplikacionet në të gjithë internetin gjatë gjithë kohës, nga blerjet në internet deri te luajtja e lojërave online, duke i ekspozuar ndaj sulmeve dytësore. Një server i komprometuar mund të zbulojë potencialisht të gjithë informacionin që ofruesi i shërbimit mban për përdoruesit e tij.
"Nuk ka asnjë mënyrë që një individ të jetë i sigurt se serverët e aplikacioneve me të cilët ndërveprojnë nuk janë të cenueshëm ndaj sulmit," paralajmëroi Marsal. "Dukshmëria thjesht nuk ekziston."
Fatkeqësisht, gjërat janë larg idealit dhe shumë aplikacione të cenueshme ndaj Log4 Shell ekzistojnë ende në natyrë.
Në një shënim pozitiv, Singh vuri në dukje se disa shitës e kanë bërë mjaft të thjeshtë për përdoruesit e shtëpisë që të adresojnë cenueshmërinë. Për shembull, duke treguar njoftimin zyrtar të Minecraft, ai tha se njerëzit që luajnë versionin Java të lojës duhet thjesht të mbyllin të gjitha rastet e lojës dhe të rinisin lëshuesin e Minecraft, i cili do të shkarkojë automatikisht versionin e korrigjuar.
Procesi është pak më i ndërlikuar dhe më i përfshirë nëse nuk jeni të sigurt se cilat aplikacione Java po përdorni në kompjuterin tuaj. Hay sugjeroi kërkimin e skedarëve me shtesa.jar,.ear ose.war. Megjithatë, ai shtoi se prania e thjeshtë e këtyre skedarëve nuk është e mjaftueshme për të përcaktuar nëse ato janë të ekspozuara ndaj cenueshmërisë log4j.
Ai sugjeroi që njerëzit të përdorin skriptet e nxjerra nga Ekipi i Gatishmërisë së Emergjencave Kompjuterike (CERT) të Universitetit Carnegie Mellon (CMU) të Inxhinierisë së Softuerëve (SEI) për të kapur kompjuterët e tyre për dobësinë. Sidoqoftë, skriptet nuk janë grafike dhe përdorimi i tyre kërkon zbritjen në vijën e komandës.
Duke pasur parasysh të gjitha gjërat, Marsal besonte se në botën e sotme të lidhur, i takon të gjithëve të bëjnë përpjekjet e tyre më të mira për të mbetur të sigurt. Singh ra dakord dhe i këshilloi njerëzit të ndiqnin praktikat bazë të sigurisë së desktopit për të qëndruar në krye të çdo aktiviteti keqdashës të përjetësuar duke shfrytëzuar cenueshmërinë.
"[Njerëzit] mund të sigurohen që sistemet dhe pajisjet e tyre të jenë të përditësuara dhe mbrojtjet e pikës fundore janë në vend," sugjeroi Singh. "Kjo do t'i ndihmonte ata me çdo alarm mashtrimi dhe parandalim kundër çdo pasoja nga shfrytëzimet e egra."
