دركمتر از یك ماه صورت گرفت؛
سومین حمله مهاجمان سایبری به کتابخانه Log۴j
به گزارش پارس آی سی تی مرکز مدیریت راهبردی افتای ریاست جمهوری ضمن اشاره به سومین حمله مهاجمان سایبری به کتابخانه Log۴j درکمتر از یکماه اعلام نمود: این صدمه پذیری مدیران امنیتی IT سازمان ها را گرفتار سردرگمی کرده است.
به گزارش پارس آی سی تی به نقل از مرکز مدیریت راهبردی افتا، با وجود ترمیم دو ضعف امنیتی در کتابخانه Log۴j در ۲۵ روز گذشته، سومین صدمه پذیری این کتابخانه، بنیاد تولید کننده آن و مدیران امنیتی IT سازمان ها را گرفتار دردسر و سردرگمی کرده است. کتابخانه log۴j یکی از کتابخانه های محبوب مدیریت log برنامه است. از آنجاییکه این کتابخانه در خیلی از سرویسهای ابری و سرورها تعبیه شده است، سوءاستفاده از این ضعف امنیتی نیازی به تخصص فنی سطح بالا و احراز هویت ندارد. بخش قابل توجهی از نرم افزارهای سازمانی، برنامه های تحت وب و انواع مختلف سرورهای آپاچی در مقابل سوءاستفاده از این ضعف امنیتی و حملات RCE مبتنی بر آن، به شدت صدمه پذیر هستند. ضعف امنیتی کتابخانه Log۴j به مهاجمان سایبری اجازه می دهد تا اسکریپت های مخرب را دانلود و اجرا کرده و امکان کنترل از راه دور سیستم را به صورت کامل برای هکرها فراهم می کند؛ از این رو، شرکت آپاچی نسخه Log۴j ۲.۱۵.۰ را برای ترمیم صدمه پذیری CVE-۲۰۲۱-۴۴۲۲۸ منتشر نمود. این باگ بعنوان یک حمله منع سرویس Denial of Service) – به اختصار DoS) هم شناخته می شود. این ضعف امنیتی، از نوع Infinite Recursion است و بر تمامی نسخه های Log۴j و حتی نسخه دوم منتشرشده در ۲۵ روز گذشته تاثیر می گذارد. برای ضعف امنیتی جدید کتابخانه Log۴j، شدت ۷.۵ از ۱۰ و درجه اهمیت بالا گزارش شده است. شرکتهای بیت دیفندر و مایکروسافت هم تلاشهای مختلف مهاجمان سایبری با استفاده از باگ Log۴Shell را برای استقرار باج افزار روی سیستم های صدمه پذیر گزارش کرده اند و مایکروسافت تصریح کرده که مهاجمان درحال انتشار باج افزار Khonsari روی سرور Minecraft هستند. بنیاد نرم افزاری آپاچی (Apache Software Foundation) به دنبال کشف سومین ضعف امنیتی در کتابخانه Log۴j، با نامگذاری این صدمه پذیری امنیتی به شناسه CVE-۲۰۲۱-۴۵۱۰۵، نسخه ۲.۱۷.۰ - را برای این کتابخانه منبع باز مبتنی بر Java منتشر نموده است. این سومین نسخه ترمیم شده کتابخانه Log۴j در ۲۵ روز گذشته است. کارشناسان حوزه امنیت سایبری مرکز مدیریت راهبردی افتا با عنایت به تأکیدهای مکرر بنیاد نرم افزاری آپاچی، از مدیران امنیتی IT سازمان ها و زیرساخت های حیاتی خواسته اند تا در نخستین فرصت، کتابخانه Log۴j را در سیستم های سازمان های خود به نسخه ۲.۱۷.۰، ارتقا دهند. اطلاعات تخصصی و فنی درباره این ضعف جدید امنیتی در کتابخانه Log۴j، اطلاعات دو صدمه پذیری قبلی این کتابخانه و سفارش نامه امنیتی بنیاد نرم افزاری آپاچی در پایگاه اینترنتی مرکز مدیریت راهبردی افتا انتشار یافته است. مرکز مدیریت راهبردی افتا از کارشناسان، متخصصان و مدیران IT دستگاههای دارای زیر ساخت حیاتی خواسته است تا ضمن مطالعه دقیق خبر تخصصی در ارتباط با سومین ضعف امنیتی در کتابخانه Log۴j، بلافاصله نسبت به ترمیم این ضعف امنیتی و به روز کردن آن در سیستم ها و سرویسهای ابری سازمان خود اقدام نمایند.
منبع: ict-pars.ir
این مطلب را می پسندید؟
(1)
(0)
تازه ترین مطالب مرتبط
نظرات بینندگان در مورد این مطلب