Log4j: हम कितने खराब हैं?
ठीक है, यह निश्चित रूप से साइबर पराजय के लिए एक वर्ष रहा है , तो, निश्चित रूप से, चीजों को एक अच्छी, मोटी सुरक्षा भेद्यता के साथ क्यों न बांधें जो इंटरनेट पर लगभग हर चीज को प्रभावित करती है? यह सही लगता है।
संक्षेप में, Apache log4j बग खराब है । अमेरिका की साइबर सुरक्षा और अवसंरचना सुरक्षा एजेंसी की निदेशक जेन ईस्टरली के अनुसार, यह "सबसे गंभीर में से एक" है जिसे उसने अपने "पूरे करियर" में देखा है। हाल ही में एक मीडिया उपस्थिति में, ईस्टरली ने संवाददाताओं से कहा कि संघीय अधिकारी पूरी तरह से "परिष्कृत अभिनेताओं द्वारा व्यापक रूप से शोषण किए जाने की भेद्यता" की उम्मीद करते हैं, और सीआईएसए के भेद्यता प्रबंधन कार्यालय के उनके सहयोगी, जे गज़ले ने मददगार रूप से खुलासा किया कि बग संभावित रूप से "सैकड़ों एफ " को प्रभावित करता है। लाखों डिवाइस। ”
अधिक: Web3 क्या है और आपको इसकी परवाह क्यों करनी चाहिए?
जबकि रोज़मर्रा के वेब उपयोगकर्ता इस पूरी स्थिति के बारे में बहुत कुछ नहीं कर सकते हैं, यह जानना उपयोगी हो सकता है कि क्या हो रहा है। यहाँ सभी भयावहता पर एक त्वरित ठहरनेवाला है।
प्रभावित प्रोग्राम, Apache's log4j, एक स्वतंत्र और ओपन-सोर्स लॉगिंग लाइब्रेरी है जिसका बड़ी संख्या में कंपनियां उपयोग करती हैं। लॉगिंग लाइब्रेरी को इंजीनियरों द्वारा कार्यान्वित किया जाता है ताकि यह रिकॉर्ड किया जा सके कि प्रोग्राम कैसे चलते हैं; वे कोड ऑडिटिंग की अनुमति देते हैं और बग और अन्य कार्यक्षमता मुद्दों की जांच के लिए एक नियमित तंत्र हैं। चूंकि log4j मुफ़्त है और व्यापक रूप से भरोसेमंद है, बड़ी और छोटी कंपनियां इसे सभी प्रकार के सामानों के लिए नियोजित कर रही हैं। बेशक, विडंबना यह है कि इस बग-चेकिंग टूल में अब एक बग है।
सुरक्षा शोधकर्ताओं ने भेद्यता को "लॉग4शेल" कहा है क्योंकि उचित शोषण के परिणामस्वरूप सर्वर के सिस्टम में शेल एक्सेस (जिसे "रिमोट कोड एक्सेस" भी कहा जाता है) हो सकता है। इस बीच, इसका आधिकारिक पदनाम CVE-2021-44228 है और यह सामान्य भेद्यता स्कोरिंग सिस्टम स्केल पर 10 की गंभीरता रेटिंग रखता है-जाहिरा तौर पर सबसे खराब जो आपको मिल सकता है। शुरुआत में अलीबाबा की क्लाउड सिक्योरिटी टीम के एक सदस्य चेन झाओजुन द्वारा देखे जाने के बाद, एक सप्ताह से भी कम समय पहले, 9 दिसंबर को पहली बार सार्वजनिक रूप से इसका खुलासा किया गया था।
तकनीकी रूप से बोलते हुए, बग एक शून्य-दिन रिमोट कोड निष्पादन भेद्यता है, जिसका अर्थ है कि यह "हमलावरों को लक्षित सर्वर पर स्क्रिप्ट डाउनलोड करने और चलाने की अनुमति देता है, जिससे उन्हें रिमोट कंट्रोल को पूरा करने के लिए खुला छोड़ दिया जाता है," बिटडेफेंडर शोधकर्ताओं ने हाल के ब्रेक-डाउन में लिखा है भेद्यता। इसका शोषण करना भी काफी आसान है—अपराधियों को बहुत अधिक परेशानी का कारण बनने के लिए बहुत कुछ करने की आवश्यकता नहीं है।
Log4j की सर्वव्यापकता के कारण, इंटरनेट पर अधिकांश सबसे बड़े प्लेटफॉर्म पराजय से बंधे हैं। ऐसी कई सूचियाँ हैं जिन्हें प्रकाशित किया गया है जो यह दिखाने के लिए हैं कि कौन प्रभावित है और कौन प्रभावित हो सकता है, हालांकि इस बिंदु पर, एक पूरी तरह से व्यापक लेखांकन एक त्वरित महत्वाकांक्षा की तरह लगता है। विभिन्न रिपोर्टों के अनुसार, पीड़ितों में ऐप्पल, ट्विटर, अमेज़ॅन, लिंक्डइन, क्लाउडफ्लेयर और अन्य जैसे बड़े नाम शामिल हैं।
जिन कंपनियों ने निश्चित रूप से अपनी भागीदारी की पुष्टि की है, उन्होंने अक्सर रिपोर्ट किया है कि उनके उत्पादों और सेवाओं के ढेर को पैचिंग की आवश्यकता है। उदाहरण के लिए, क्लाउड कंप्यूटिंग फर्म VMWare, रिपोर्ट करती है कि उसके 44 उत्पाद प्रभावित हुए हैं। नेटवर्किंग की दिग्गज कंपनी सिस्को का कहना है कि उसके 35 टूल्स कमजोर हैं। एक प्रमुख साइबर सुरक्षा कंपनी फोर्टिगार्ड ने हाल ही में खुलासा किया कि उसके कम से कम एक दर्जन उत्पाद प्रभावित हैं। यह सूची लम्बी होते चली जाती है।
अमेज़ॅन स्पष्ट रूप से उस सूची की सबसे बड़ी कंपनियों में से एक है। टेक जायंट नियमित रूप से अपने उत्पादों और सेवाओं से संबंधित अपडेट प्रकाशित कर रहा है (जिनमें से काफी कुछ प्रतीत होता है), जबकि ऐप्पल ने हाल ही में पुष्टि की कि आईक्लाउड बग से प्रभावित था और बाद में खुद को पैच अप कर लिया । अन्य कंपनियां अभी भी जांच कर रही हैं कि उन्हें खराब कर दिया गया है या नहीं, जिसमें ब्लैकबेरी, डेल, हुआवेई और सिट्रिक्स जैसे तकनीकी दिग्गजों के साथ-साथ सोनिकवॉल, मैकएफी, ट्रेंडमाइक्रो, ओरेकल, क्यूलिक, और कई अन्य प्रमुख तकनीकी फर्म शामिल हैं।
लेकिन बग में तकनीक से बाहर तक पहुंचने की क्षमता है और उन उद्योगों के साथ गड़बड़ है जिन्हें आप स्वाभाविक रूप से इस प्रकार की समस्याओं से नहीं जोड़ेंगे। ड्रैगोस, जो सुरक्षा का विश्लेषण करता है क्योंकि यह परिचालन और औद्योगिक प्रणालियों से संबंधित है, ने हाल ही में इतना लिखा है:
तो, यह बुरी खबर है। अच्छी खबर? जेके, कोई अच्छी खबर नहीं है। इसके बजाय, और भी बुरी खबर है: यह अंतर भेद्यता पहले से ही साइबर अपराधियों की भीड़ द्वारा बड़े पैमाने पर शोषण के प्रयासों को देख रही है। पूरे इंटरनेट पर सुरक्षा शोधकर्ताओं ने उनके द्वारा देखी जा रही गतिविधि पर रिपोर्ट प्रकाशित करना शुरू कर दिया है—और यह विशेष रूप से सुंदर नहीं है।
समस्या का एक बड़ा हिस्सा यह है कि अधिकांश अपराधियों को log4j vuln के बारे में लगभग उसी समय पता चल जाता है, जिस समय अन्य सभी अपराधियों को पता चलता है। इस प्रकार, कमजोर प्रणालियों और प्लेटफार्मों पर शोषण के प्रयास पिछले सप्ताह से तेजी से बढ़े हैं-क्योंकि पूरे वेब पर हैकर इस विशिष्ट भयानक स्थिति का लाभ उठाने की कोशिश कर रहे हैं। साइबर सुरक्षा फर्म चेक प्वाइंट ने हाल ही में डेटा प्रकाशित किया है जिसमें दिखाया गया है कि बग के बारे में शुरुआती खुलासे के बाद से उसने शोषण के प्रयासों का विस्फोट देखा था। रिपोर्ट नोट करती है:
साइबर सुरक्षा फर्म ड्रैगोस में थ्रेट इंटेलिजेंस के उपाध्यक्ष सर्जियो कैल्टागिरोन ने गिज्मोदो को बताया कि इस तरह की गतिविधि पाठ्यक्रम के लिए काफी समान थी। "यह अत्यधिक संभावना और अपेक्षित है कि रैंसमवेयर अंततः log4j भेद्यता का लाभ उठाएगा। विशेष रूप से कमजोर सिस्टम सर्वर जैसी महत्वपूर्ण संपत्ति होने की संभावना है, ”उन्होंने एक ईमेल में कहा।
दरअसल, साइबर सिक्योरिटी फर्म बिटडेफेंडर ने मंगलवार को शोध प्रकाशित किया , जो "खोनसारी" नामक रैंसमवेयर के एक नए परिवार द्वारा कमजोर मशीनों पर शोषण के प्रयासों को दिखाता है। शोध के अनुसार, खोंसारी रैंसमवेयर हैकर्स फिरौती के नोटों को पीछे छोड़कर माइक्रोसॉफ्ट सिस्टम को निशाना बना रहे हैं।
और, जबकि रैंसमवेयर प्रमुख चिंताओं में से एक है, अन्य साइबर सुरक्षा पेशेवरों ने उनके द्वारा देखे जा रहे प्रयासों की एक पूरी विविधता के बारे में लिखा है - जिनमें से क्रिप्टोमाइनिंग और बॉटनेट इंस्टॉलेशन से अधिक टोही-प्रकार की गतिविधि के लिए सरगम चलाते हैं, जैसे कि सामान्य स्कैन और कोबाल्ट-स्ट्राइक बीकन की तैनाती।
कई मामलों में, ये हमले तेज और उग्र होते दिख रहे हैं। "हम देख रहे हैं> प्रति सेकंड 1,000 प्रयास किए गए कारनामे। और पेलोड डरावना हो रहा है। रैंसमवेयर पेलोड पिछले 24 घंटों में लागू होना शुरू हो गया, ” क्लाउडफ्लेयर के सीईओ मैथ्यू प्रिंस ने ट्वीट किया , जो स्पष्ट रूप से शोषण गतिविधि को भी देख रहा है।
मामले को बदतर बनाते हुए , इस सप्ताह CVE-2021-45046 नामक एक दूसरी भेद्यता की खोज की गई। लूनासेक के शोधकर्ताओं ने कहा कि पहले से पैच किए गए सिस्टम अभी भी नवीनतम बग से दूर चल सकते हैं और अपाचे ने जोखिमों को कम करने के लिए पहले ही एक अपडेट जारी कर दिया है।
यदि आप एक आकस्मिक वेब उपयोगकर्ता हैं, तो इस बिंदु पर आप वास्तव में केवल यही कर सकते हैं कि संकेत मिलने पर अपने उपकरणों और अनुप्रयोगों को अपडेट करें और आशा करें कि जिन प्लेटफॉर्म पर आप भरोसा कर रहे हैं वे कमजोरियों की पहचान करने के लिए पर्याप्त तेज़ हैं, पैच को जोड़ सकते हैं, और अपडेट को पुश आउट करें। संक्षेप में: वहाँ रुको, सब लोग।
