Egy rendkívül súlyos sebezhetőségre derült fény a napokban, amely több rendszert – főként szervereket – érint, így kiemelten fontos megtenni a szükséges lépéseket, vagyis ahol már rendelkezésre áll, le kell tölteni az érintett alkalmazásokhoz és szoftverkomponensekhez a szükséges frissítést. Lényegében arról van szó, hogy egy Java sebezhetőség miatt támadhatóak bizonyos rendszerek, ehhez pedig helyi hozzáférésre sincs szükség, egyszerűen egy webböngészőn keresztül átvehető az irányítás felettük.
A Log4Shell sebezhetőség a NIST (National of Standards and Technology) a lehető legmagasabb pontszámmal látta el, már ami a veszélyesség fokát illeti. A probléma az Apache nyílt forráskódú szoftvercsomag naplózó könyvtárát érinti, amelyen keresztül a támadó könnyedén futtathat kártékony kódot API hívás, mobileszköz vagy webböngésző segítségével.
A biztonságtechnikai kutatók szerint az Appache Log4J szolgáltatásán keresztül a támadó elérheti, hogy az adott rendszer letöltsön és futtasson bizonyos kártékony kódokat, ezt a szervert a támadó irányítja és segítségével több szoftveres biztonsági rétegen is át tud hatolni. Ehhez fizikai jelenlétre sincs szüksége, csak annyit kell elérnie, hogy az adott konfiguráció vagy szerver rendelkezzen valamiféle webböngésző-hozzáféréssel. A sebezhetőség jellege miatt a CVSS 3.0-s skálán 10-es, azaz a legmagasabb veszélyességi besorolást kapta.
Az Intel háza táján több olyan alkalmazás is van, amelyek érintettek, így a lenti kilenc szoftvert és szoftvercsomagot egyelőre veszélyes használni, ezekhez ugyanis még készülnek a frissítések, amelyek befoltozzák a rést.
- Intel Audio Development Kit
- Intel Datacenter Manager
- Intel oneAPI sample browser plugin for Eclipse
- Intel System Debugger
- Intel Secure Device Onboard (mitigation available on GitHub)
- Intel Genomics Kernel Library
- Intel System Studio
- Computer Vision Annotation Tool maintained by Intel
- Intel Sensor Solution Firmware Development Kit
Az AMD háza táján a jelek szerint nincs olyan szoftver, amely érintett lenne a sebezhetőség által, legalábbis az első körös vizsgálatok erre utaló eredménnyel zárultak. Mivel azonban kiemelten kritikus sérülékenységről van szó, a vizsgálódást tovább folytatják az AMD szakemberei.
Az Nvidiánál egy fokkal érdekesebb a helyzet, ugyanis a vállalat szerint a szolgáltatások és al-szolgáltatások legfrissebb változatait használva nincs szó sebezhetőségről, ám azokban az esetekben, ahol a rendszergazdák nem végezték el a szükséges szoftverfrissítéseket, potenciális veszély áll fenn az alábbi termékek esetében:
- CUDA Toolkit Visual Profiler and Nsight Eclipse Edition
- DGX Systems
- NetQ
- vGPU Software License Server
A DGX konfigurációknál egyébként speciális a helyzet, mert a gyárilag kiszállított rendszereken olyan Ubuntu disztribúció fut, amely alap esetben nem rendelkezik az Apache Log4J funkcionalitásával, de ezt a blokkot később bármikor telepíthetik a felhasználók. Akik így tettek, haladéktalanul frissítsék a szoftvercsomagot, ugyanis az új kiadás már mentes a biztonsági réstől.
A Microsoft szintén kiadott némi tájékoztatást, amelyből kiderül, a vállalatnak két olyan terméke van, amely érintett: az egyik az Azure Spring Cloud, amely néhány Log4J elemmel dolgozik a boot folyamat során, így ha ezt nem frissítették, veszélyeztetett lehet. A másik az Azure DevOps alkalmazás, ami már kapott frissítéseket, így a sebezhetőségtől nem kell tartani, ha ezeket a frissítéseket telepítettük is.
