CISA: Θα ασχολούμαστε με το Log4j για πολύ καιρό

Οι επαγγελματίες ασφάλειας θα αντιμετωπίζουν τις συνέπειες από το το κενό ασφαλείας Log4j για πολύ καιρό ακόμη, ανέφεραν ανώτατα στελέχη της Υπηρεσίας Κυβερνοασφάλειας και Ασφάλειας Υποδομών των ΗΠΑ (Cybersecurity and Infrastructure Security Agency- CISA), σύμφωνα με το CNET.
Εάν δεν επιδιορθωθεί καθόλου ή μερικώς, το σημαντικό ελάττωμα ασφαλείας που ανακαλύφθηκε πριν από ένα μήνα στη βιβλιοθήκη καταγραφής Java Apache Log4j εγκυμονεί κινδύνους για τεράστια τμήματα του Διαδικτύου. Η ευπάθεια του ευρέως χρησιμοποιούμενου λογισμικού θα μπορούσε να εκμεταλλευτεί κακόβουλος χρήστες με σκοπό να καταλάβει διακομιστές, θέτοντας δυνητικά σε κίνδυνο τα πάντα, από ηλεκτρονικά είδη ευρείας κατανάλωσης μέχρι κυβερνητικά και εταιρικά συστήματα. Καμία ομοσπονδιακή υπηρεσία των ΗΠΑ δεν έχει παραβιαστεί ως αποτέλεσμα της ευπάθειας, είπε η διευθύντρια της CISA Jen Easterly σε δημοσιογράφους σε τηλεφώνημα τη Δευτέρα. Επιπλέον, δεν έχουν αναφερθεί σημαντικές επιθέσεις στον κυβερνοχώρο που να εμπλέκουν το σφάλμα στις ΗΠΑ, αν και πολλές επιθέσεις δεν αναφέρονται, είπε.

Η Jen Easterly είπε ότι το τεράστιο εύρος της ευπάθειας, η οποία επηρεάζει δεκάδες εκατομμύρια συσκευές συνδεδεμένες στο Διαδίκτυο, την καθιστά τη χειρότερη που έχει δει στην καριέρα της. Είναι πιθανό, είπε, οι επιτιθέμενοι να περιμένουν από εταιρείες και άλλους να χαλαρώσουν την άμυνά τους πριν επιτεθούν. "Αναμένουμε ότι το Log4Shell θα χρησιμοποιηθεί σε εισβολές στο μέλλον", είπε η Easterly. Σημείωσε ότι η παραβίαση δεδομένων Equifax το 2017, η οποία έθεσε σε κίνδυνο τα προσωπικά στοιχεία σχεδόν 150 εκατομμυρίων Αμερικανών, προήλθε από μια ευπάθεια στο λογισμικό ανοιχτού κώδικα. Οι περισσότερες από τις προσπάθειες εκμετάλλευσης του σφάλματος, μέχρι στιγμής, έχουν επικεντρωθεί σε εξόρυξη κρυπτονομισμάτων χαμηλού επιπέδου ή σε προσπάθειες εισαγωγής συσκευών σε botnets, είπε.