БОСТОН — Експерти з безпеки в усьому світі змагалися в п’ятницю, щоб виправити одну з найгірших комп’ютерних уразливостей, виявлених за останні роки, критичного недоліку відкритого коду, який широко використовується в промисловості та уряді в хмарних сервісах та корпоративному програмному забезпеченні.
«Мені важко було б придумати компанію, яка не зазнає ризику», — сказав Джо Салліван, головний спеціаліст із безпеки Cloudflare, чия онлайн-інфраструктура захищає веб-сайти від зловмисників. Його встановлено на незлічених мільйонах серверів, і експерти сказали, що про наслідки не буде відомо протягом кількох днів.
Команда реагування на надзвичайні ситуації на комп’ютері Нової Зеландії була однією з перших, хто повідомив, що недолік у програмі на мові Java для серверів Apache, який використовується для реєстрації активності користувачів, «активно експлуатувався в дикій природі» лише через кілька годин після того, як про це було публічно повідомлено в четвер і випущено виправлення.
Уразливість, яка отримала назву «Log4Shell», отримала 10 балів за шкалою від 1 до 10, що є найгіршим з можливих. Будь-хто, хто має експлойт, може отримати повний доступ до невиправленої машини.
«Інтернет зараз у вогні. Люди намагаються виправити, і є діти-скриптори та всілякі люди, які намагаються використати його», – сказав Адам Мейерс, старший віце-президент з розвідки фірми з кібербезпеки Crowdstrike. «За останні 12 годин він був повністю озброєний».
Уразливість у модулі Apache Software Foundation була виявлена 24 листопада китайським технологічним гігантом Alibaba, повідомляє фонд. Мейєрс очікував, що групи реагування на надзвичайні ситуації з комп’ютером будуть напружені у вихідні, намагаючись ідентифікувати всі пошкоджені машини. Полювання ускладнюється тим, що уражене програмне забезпечення може бути в програмах сторонніх розробників.
Використання недоліку, мабуть, вперше було виявлено в Minecraft, онлайн-грі, надзвичайно популярній серед дітей і належить Microsoft.
Мейерс і експерт з безпеки Маркус Хатчінс сказали, що користувачі Minecraft вже використовували його для виконання програм на комп’ютерах інших користувачів, вставляючи коротке повідомлення у вікно чату.
Microsoft заявила, що випустила оновлення програмного забезпечення для користувачів Minecraft, і «клієнти, які застосовують виправлення, захищені».
Дослідники повідомили, що знайшли докази того, що вразливість може бути використана на серверах, якими керують такі компанії, як Apple, Amazon, Twitter і Cloudflare.
Салліван з Cloudflare сказав, що немає жодних ознак того, що сервери його компанії були зламані. Apple, Amazon і Twitter не відразу відповіли на запити про коментарі.
bbabo.Net