По всему миру в средствах массовых информаций сообщили об обнаружении в библиотеке Apache Log4j критической уязвимости, получившей номер CVE-2021-44228. Злоумышленники уже активно используют эту уязвимость в атаках. Это достаточно редкий случай «идеального шторма» в мире информационной безопасности: уязвимость эксплуатируется легко, при этом сложно определить все уязвимые приложения и установить обновление в условиях активных попыток взлома.
Log4Shell – недавно найденная критическая уязвимость в библиотеке логирования Apache Log4j. Простота использования и широкое распространение библиотеки Log4j представляют угрозу полного захвата сервера, потери данных, программ-вымогателей, и т.д. Согласно отчётам Cloudflare и Kaspersky, с 10 декабря 2021 года наблюдаются массовые атаки с использованием уязвимости Log4Shell.
Общая информация
Log4Shell (CVE-2021-44228) – уязвимость нулевого дня в широко распространённой Java библиотеке Log4j (уязвимы версии от 2.0-beta9 до 2.14.1 включительно; частично версии 2.15, 2.16), которая имеет уровень критичности CVSS 10 из 10. Уязвимость оставалась незамеченной с 2013 года, и была сообщена команде разработчиков 24 ноября специалистами компании Alibaba.
Уязвимость в Java библиотеке Log4j была обнаружена почти месяц назад. За этот промежуток времени крупные мировые гиганты подтвердили присутствие уязвимости на своих серверах. Учитывая, что функция библиотеки по журналированию логов популярна, Log4j подвергла опасности миллионы серверов. В нашем отчете мы провели краткий обзор данной уязвимости и сформировали рекомендации по устранению.
Подробнее читайте в свежем обзоре KPMG в Центральной Азии.