Pasaulá gàsdina klaida plaèiai naudojamoje „Java“ áraðø bibliotekoje

Kibernetinio saugumo ámonë „Check Point“ skelbia, kad iðpuoliai, susijæ su „Log4j“ bibliotekos klaida, pavadinta „Log4Shell“, ypaè padaþnëjo nuo praëjusio penktadienio. Tyrëjai teigia, kad kai kada buvo pastebima net ir po 100 kibernetiniø iðpuoliø per minutæ.

Kibernetinio saugumo bendrovës ir „Microsoft“ teigia stebinèios atvejus, kuomet atakas, pasinaudojant „Log4j“ klaida, rengia su Kinija ir Iranu siejamos programiðiø grupuotës. Pagal CVSS (angl. Common Vulnerability Scoring System) standartà, „Log4Shell“ spragos rimtumas ávertintas 10 balø ið 10-ies.

„Financial Times“ raðo, kad pasinaudojant „Log4j“ klaida, kurios oficialus pavadinimas yra CVE-2021-44228, ámanoma gana nesunkiai gauti prieigà prie su „Java“ programavimo kalba veikianèiø sistemø.

„Check Point“ analitikai teigia, kad daþnai programiðiai, ásilauþæ á kompiuterius, á juos ádiegia robotus bei „pajungia“ kasti kriptovaliutas, arba átraukia á „botnetus“ – nuotoliniu bûdu valdomus didelius kompiuteriø tinklus, kurie vëliau panaudojami DDoS atakoms, ðlamðto siuntinëjimui ar pan.

Jen Easterly, JAV Kibernetinio ir infrastruktûros saugumo agentûros direktorë, sako, kad tai – viena didþiausiø sistemø klaidø, kurià jai yra tekæ matyti per savo karjerà.

„Manome, kad ðis paþeidþiamumas bus iðnaudojamas itin plaèiai. Turime labai maþai laiko imtis reikiamø þingsniø, kad sumaþintume þalos tikimybæ“, – apie „Apache Log4j“ klaidà sakë ji.

Treèiadiená praneðimà iðplatinusi telekomunikacijø bendrovë „Telia“ atkreipia dëmesá, kad „Log4j“ áraðø bibliotekos klaida yra ypaè pavojinga dël jos populiarumo – daþniausiai ði biblioteka sutinkama serveriø ir debesijos paslaugø programinëje árangoje.

„Log4Shell“ tapo nemalonia staigmena visiems, dirbantiems IT ir saugumo srityje, áskaitant ir mus. Paveikta daug technologijø, sistemø ir visa tai kelia didelæ rizikà. „Telia“ specialistai ëmësi skubiø veiksmø, diegë naujinimus, bendradarbiaujame su tiekëjais“, – praneðime sakë Odeta Baranauskienë, „Telia“ Saugos komandos vadovë.

Pasak jos, nepakanka tik ádiegti naujausià „Log4j“ versijà – IT specialistai turëtø atlikti sistemos patikrinimus bei ávertinti, ar á sistemà nebuvo ásilauþta ir ar nëra kenkëjiðkos veiklos poþymiø.

Anot ekspertø, klaida egzistavo ir buvo nepastebima nuo pat 2013 m. „Log4Shell“ yra vadinama nulinës dienos spraga, kadangi saugumo ekspertai nesukûrë klaidos iðtaisymo iki tol, kol apie defektà nebuvo suþinota ir juo nebuvo pradëta aktyviai naudotis.