BSI, Федеральне відомство інформаційної безпеки, оголосило червоне попередження через бібліотеку Log4j Java та її вразливість Log4Shell. Проблема призводить до надзвичайно критичної загрози.
За даними Федерального управління інформаційної безпеки (BSI), критична вразливість (Log4Shell) у поширеній бібліотеці Java Log4j призводить до надзвичайно критичної загрози. Тому BSI оновив своє існуюче попередження про кібербезпеку до червоного рівня попередження. Причиною такої оцінки є дуже широке розповсюдження ураженого продукту та відповідний вплив на незліченну кількість інших продуктів. Цю вразливість також можна використовувати тривіально, доказ концепції є загальнодоступним. Успішне використання вразливості дозволяє повністю заволодіти ураженою системою. BSI знає про масові сканування та спроби компрометації в усьому світі та Німеччині. Про перші успішні компроміси також повідомляється публічно.
Log4j: уразливість легко використовувати
За даними BSI, наразі неможливо остаточно визначити повний масштаб загрози. Хоча існує оновлення безпеки для відповідної бібліотеки Java Log4j, усі продукти, які використовують Log4j, також повинні бути адаптовані. Бібліотека Java — це програмний модуль, який використовується для реалізації певної функції в інших продуктах. Тому він часто глибоко закріплений в архітектурі програмних продуктів. Які продукти є вразливими та для яких уже є оновлення, наразі не зовсім зрозуміло, тому їх потрібно перевіряти в кожному окремому випадку. Можна очікувати, що протягом наступних кількох днів буде визначено більше продуктів як уразливі.
Контрзаходи, рекомендовані до впровадження
Зокрема, BSI рекомендує компаніям і організаціям впровадити захисні заходи, викладені в попередженні про кібербезпеку. Крім того, у короткостроковій перспективі слід збільшити можливості виявлення та реагування, щоб мати можливість належним чином контролювати власні системи. Щойно оновлення стануть доступними для окремих продуктів, їх слід імпортувати. Крім того, всі системи, які були вразливі, повинні бути перевірені на компрометацію.
Більше на BSI.bund.de
Про Федеральне відомство з інформаційної безпеки (BSI) Федеральне відомство з інформаційної безпеки (BSI) є федеральним органом з кібербезпеки та розробником безпечної цифровізації в Німеччині. Заява місії: BSI, як федеральний орган кібербезпеки, розробляє інформаційну безпеку в оцифровці шляхом запобігання, виявлення та реагування для держави, бізнесу та суспільства.