وصلهای که یک آسیبپذیری حیاتی را در یک نرمافزار محبوب برطرف کرد که توسط برخی به عنوان بدترین آسیبپذیری در یک دهه اخیر توصیف شده است، حداقل دو راه جدید برای مهاجمان مخرب برای حمله به سرورها معرفی کرده است.
کشف اکسپلویت ناشناخته قبلی در Log4J، یک ابزار منبع باز توسعه یافته توسط بنیاد نرم افزار آپاچی، هفته گذشته به سرفصل های جهانی تبدیل شد. این آسیبپذیری به سرورهایی که از ابزار ورود به سیستم استفاده میکنند اجازه میدهد تا هر کدی را اجرا کنند.
ادامه مطلب
این حفره هفته گذشته توسط یک وصله بسته شد، اما آسیبپذیریهای جدیدی را معرفی کرد که توسط Ars Technica و ZDNet توضیح داده شده است.
توسعه دهندگان تایید کردند که این مشکل وجود دارد “ناقص در برخی از تنظیمات غیر پیش فرض” و به مهاجمان این فرصت را داد تا حملات انکار سرویس را انجام دهند که باعث غیرقابل دسترس شدن سرویس می شود. غیرفعال کردن برخی از عملکردها خطر را کاهش می دهد.
مشکل دیگری توسط شرکت امنیت سایبری Pretorian گزارش شده است که روز چهارشنبه اعلام کرد که این وصله “هنوز می تواند در شرایط خاص اجازه استخراج داده های حساس را بدهد.”
خوشبختانه، یک پچ جدیدتر برای این ابزار در اوایل این هفته منتشر شد. با این حال، ادغام این ارتقا توسط شرکت ها در محصولاتشان زمان می برد.
آسیب پذیری 0 روزه اصلی به طور فعال توسط عوامل مخرب مورد سوء استفاده قرار گرفته است. طبق برآوردی که فایننشال تایمز به آن اشاره کرده است، از روز جمعه بیش از 1.2 میلیون حمله با استفاده از نقص Log4J انجام شده است.
این ابزار به زبان جاوا نوشته شده است، یک زبان برنامه نویسی محبوب که در بسیاری از محصولات مدرن استفاده می شود، که توضیح می دهد که چرا آن را به عنوان “بزرگترین و بحرانی ترین آسیب پذیری دهه گذشته” توسط شرکت امنیتی Tenable.