Körkép a Log4Shell sebezhetőségről

​Az Apache Log4j kapcsán felmerült súlyos sebezhetőség miatt rengeteg alkalmazás és rendszer frissítésére van szükség. A gyártók gőzerővel dolgoznak a javításokon.
 

Az elmúlt napokban sorra érkeztek a gyártói bejelentések annak kapcsán, hogy az Apache Log4j naplózó könyvtárban feltárt sérülékenység miatt frissítésekre van szükség. A CVE-2021-44228 azonosítóval fémjelzett, Log4Shell néven emlegetett sebezhetőségre először a Minecraft kapcsán derült fény, de hamar kiderült, hogy a probléma ennél jóval kiterjedtebb. Mivel a Log4j rengeteg alkalmazás, szolgáltatás működésében kap szerepet, ezért a hibának való kitettség nagyon széles körű. A kockázatokat pedig tetézi, hogy egy olyan sérülékenységről van szó, amelynek kihasználása viszonylag egyszerű, miközben jogosulatlan távoli kódfuttatást és rendszerkompromittálást tesz lehetővé a támadók számára. A Cloudflare és a Cisco Talos adatai szerint a sebezhetőség kihasználása már megkezdődött kiberbűnözői körökben.
 
A Log4Shell egy úgynevezett JNDI (Java Naming and Directory Interface) befecskendezési hiba. A kihasználása többféle módon történhet, de az egyik legkézenfekvőbb módszer, hogy a támadó manipulált webes kéréseket küld a szerver felé, amelyekben a user-agent értéket módosítja. Ezt a szerver naplózza, és amikor a Log4j a naplóbejegyzést feldolgozza, akkor parancsvégrehajtásra vagy kódfuttatásra nyílhat lehetőség.
 
Az Apache fejlesztői a biztonsági rés felfedezését követően viszonylag gyorsan megtették a szükséges lépéseket, és javították a hibát a Log4j 2.15.0-ás verziójában. Ettől azonban a gondok még korántsem oldódtak meg, hiszen most minden Log4j-et használó fejlesztőnek el kell végeznie a frissítést, a teszteket, az új verziók kiadását stb.
 

 
 
Olvassa tovább
Prémium előfizetéssel!
 
  1. 4

    Az Apple iOS 26 és iPadOS 26 számos biztonsági frissítéssel is szolgál.

  2. 4

    A macOS Tahoe 26 bemutatkozásával több mint hetven biztonsági rés megszüntetésére is sor került.

  3. 3

    Az Apple watchOS 26-os kiadása több biztonsági javítással együtt érkezett.

  4. 3

    Az IBM tizenhat biztonsági rést foltozott be a QRadar SIEM megoldásán.

  5. 4

    A Samsung rengeteg biztonsági rést szüntetett meg az okostelefonjain.

  6. 4

    A Microsoft két sebezhetőségről adott tájékoztatást az Edge böngésző kapcsán.

  7. 3

    A CUPS fejlesztői két biztonsági hibát javítottak.

  8. 3

    A TYPO3 öt újabb frissítés révén tehető biztonságosabbá.

  9. 3

    A GitLab fejlesztői újabb sebezhetőségekről számoltak be.

  10. 4

    Az Adobe az e-kereskedelmi szoftverei kapcsán egy kritikus veszélyességű biztonsági rést foltozott be.

Partnerhírek
​Iskolakezdés: így készítsük fel a gyerekek első telefonját vagy laptopját

Az iskolakezdés sok családban nemcsak a füzetek és tolltartók beszerzését jelenti, hanem az első saját okoseszköz – telefon, tablet vagy laptop – megvásárlását is a gyerekek számára.

Terjed a hamis hibaüzenetekkel támadó ClickFix kártevő

Az ESET közzétette legfrissebb kiberfenyegetettségi jelentését, amely a 2024. december és 2025. május közötti időszakban tapasztalt kiberkockázatokat mutatja be

hirdetés
Közösség