Venerdì scorso, 10 dicembre 2021, la Fondazione Apache ha reso nota una grave vulnerabilità di sicurezza (CVE 2021-44228) presente nella maggior parte delle versioni della sua utility open source Log4j, una popolare utility di registrazione dei log che è stata integrata in migliaia — se non centinaia di migliaia — di applicazioni e servizi software.
L'API JNDI ( Java ) consente alle applicazioni Java di ricercare dati e risorse provenienti da servizi di directory esterni, tra cui LDAP ( DNS). Un malintenzionato può sfruttare le funzionalità JNDI e indurre il sistema della vittima a recuperare una libreria esterna da un server da lui controllato. Tali comandi potrebbero essere utilizzati per installare malware, cancellare dati, sottrarre dati, copiare credenziali o compiere altre azioni dannose.
Le implicazioni sono enormi. Migliaia di applicazioni software, comprese note applicazioni commerciali realizzate da alcuni dei nomi più importanti nel settore del software aziendale, sono vulnerabili agli attacchi hacker e possono essere utilizzate per scopi malevoli.
Questo software è presente persino in dispositivi di uso quotidiano come i televisori e i chioschi nei negozi. Google Si stima che circa il 4% del repository Maven Central Java, il più importante repository di pacchetti Java esistente, sia compromesso da questa vulnerabilità.
Gli attacchi possono essere sferrati tramite browser web, righe di comando e altri tipi di input. Un ricercatore nel campo della sicurezza ha addirittura ipotizzato che la presentazione di un codice QR appositamente creato a un chiosco per il controllo dei prezzi in un negozio potrebbe consentire agli autori degli attacchi di assumere il controllo dei sistemi informatici del negozio.
Per approfondire la comprensione e la mitigazione delle Log4j minacce, guardi il nostro webinar registrato.
https://youtu.be/ygaaetd-9Is
I team di sicurezza stanno lavorando a ritmo serrato per prevenire Log4j attacchi
Apache ha rilasciato delle patch per la versione Log4j che risolvono questo problema.
Ora la corsa è iniziata: i team di sicurezza IT riusciranno a individuare tutte le occorrenze di “ Log4j ” in tutti i loro software su tutti i loro endpoint prima che gli aggressori sfruttino questa vulnerabilità per sferrare attacchi?
Gli autori degli attacchi non stanno con le mani in mano. Nel giro di 72 ore dall’annuncio della vulnerabilità, sono stati sferrati oltre 800.000 attacchi contro le applicazioni. E il panorama delle minacce non fa che peggiorare.
- Cloudflare segnala ora oltre 1.000 attacchi all’ora, contro i Log4j di prima.
- Una banda di criminali informatici in Cina sta utilizzando il numero Log4j per infettare il software Horizon dell’ VMware con NightSky, una nuova famiglia di ransomware .
- I miner di criptovalute hanno già sferrato attacchi contro i sistemi che utilizzano la versione Log4j.
- Gli autori degli attacchi hanno utilizzato il protocollo Log4j per aggiungere dispositivi a due botnet di tipo “ Linux ”, Muhstik e Mirai.
- Gli autori degli attacchi sono riusciti a penetrare in obiettivi di grande importanza, quali l’ e il Ministero della Difesa belga.
- Alcuni dei più diffusi kit di strumenti del “red team” hanno aggiunto funzionalità per lo sfruttamento di Log4j vulnerabilità, rendendo questo exploit accessibile a un numero ancora più ampio di persone.
Il software “Vulnerable Log4j ” potrebbe essere installato sulla scrivania di qualsiasi endpoint. Peggio ancora, potrebbe essere presente anche nei backup e nelle immagini di riferimento, il che significa che le Log4j istanze rimosse questo mese potrebbero riapparire in futuro, qualora fosse necessario ripristinare un sistema o configurare nuovi sistemi.
La FTC si aspetta che le aziende risolvano le vulnerabilità, pena l’applicazione di sanzioni normative
Poiché l’impatto della vulnerabilità è così esteso, è intervenuta la Commissione federale per il commercio degli Stati Uniti (FTC). Il 4 gennaio 2022 ha pubblicato una dichiarazione, nella quale sottolinea che la vulnerabilità Log4j mette a rischio la protezione dei dati dei consumatori e ricorda alle aziende che «l’obbligo di adottare misure ragionevoli per mitigare le vulnerabilità software note rientra nell’ambito di applicazione di leggi quali, tra le altre, il Federal Trade Commission Act e il Gramm-Leach-Bliley Act».
Per garantire che nessuno sottovaluti la gravità del proprio avvertimento, la FTC cita la multa di 700 milioni di dollari inflitta a Equifax nel 2017 per la mancata applicazione, da parte di tale società, di una patch relativa a una vulnerabilità nota di Struts Apache . Tale negligenza nell'applicazione delle patch di terze parti da parte di ha portato a una violazione dei dati che ha finito per rendere pubbliche le informazioni private di 143 milioni di consumatori e ha compromesso l'immagine del marchio Equifax.
La FTC non considera la norma Log4j come un’occasione specifica per un esame normativo. Si aspetta piuttosto che le aziende individuino e mitigino tempestivamente rischi simili in futuro. La FTC non potrebbe essere più chiara: «La FTC intende avvalersi di tutti i poteri legali a sua disposizione per perseguire le aziende che non adottino misure ragionevoli volte a proteggere i dati dei consumatori dall’esposizione derivante dalla vulnerabilità Log4j o da vulnerabilità simili che dovessero emergere in futuro».
In sintesi, per i team di sicurezza: gli strumenti e i processi che i team di sicurezza IT stanno implementando ora per affrontare la vulnerabilità Log4j dovrebbero essere utilizzati in modo continuativo anche in futuro per individuare ( Detect ) e mitigare rischi simili.
Un problema persistente richiede una soluzione duratura
Anche senza considerare l’inevitabile presenza di altri componenti software vulnerabili, il lavoro di bonifica del sistema Log4j richiederà un impegno a lungo termine da parte dei team IT. Ecco perché.
In primo luogo, a oltre un mese dall’annuncio della vulnerabilità, su il 40% dei download recenti su Log4J riguarda versioni ancora soggette a compromissione. Si tratta del 40% di oltre 10 milioni di download, il che offre numerose opportunità agli autori degli attacchi.
In secondo luogo, le analisi condotte sulle reti aziendali stanno individuando non solo versioni recenti e vulnerabili della Log4j , ma anche versioni 1.x dell’utilità, la cui fine del ciclo di vita è stata ufficialmente dichiarata da Apache in agosto 2015. È anche un segnale del fatto che probabilmente vi sono copie di Log4j nascoste in luoghi insospettabili all’interno di un’azienda.
In terzo luogo, anche qualora un team IT riuscisse a individuare e rimuovere tutte le istanze vulnerabili del file JndiLookup.class nel sistema Log4j, dovrebbe comunque prestare attenzione alle istanze vulnerabili che potrebbero essere ripristinate dai backup o dalle immagini di riferimento dell’ . Devono inoltre preoccuparsi del fatto che i dipendenti possano scaricare da Internet copie vulnerabili o che soggetti terzi utilizzino versioni vulnerabili, il che finisce per offrire agli aggressori l’opportunità di penetrare nella rete.
Beyond Log4j to continuous threat hunting
Questa pratica, che si svolge su base continuativa, va ben oltre la semplice individuazione e correzione delle Log4j vulnerabilità in sé. Poiché la FTC si è impegnata a sanzionare le aziende responsabili di fughe di dati dovute a vulnerabilità simili alla Log4j, un’importante autorità di regolamentazione sta segnalando che le carenze di lunga data nella gestione delle patch non saranno più tollerate. Il mancato rispetto di tali disposizioni potrebbe comportare sanzioni pecuniarie fino a centinaia di milioni di dollari.
I team IT devono agire subito, non solo per individuare e correggere le Log4j vulnerabilità, ma anche per implementare strumenti e processi volti a individuare, in generale, le vulnerabilità dei componenti software. Se, tra sei mesi, dovesse emergere che un altro componente software open source presenta una vulnerabilità di sicurezza, i team di sicurezza dovranno intervenire tempestivamente per effettuare l’ Detect e e correggere tutte le istanze di tale componente.
Le organizzazioni di ogni tipo necessitano di un metodo rapido, efficace ed esaustivo per individuare i componenti software vulnerabili e porre rimedio alle minacce da essi derivanti. Il semplice fatto di eseguire script di shell per cercare i nomi dei file non risolverà il problema.
Tali script, sebbene siano facili da scrivere o da scaricare da un sito dedicato alla sicurezza, quasi certamente non terranno conto delle dipendenze software e dei componenti integrati. E, cosa ancora peggiore, causeranno un picco di carico delle CPU sui sistemi critici presenti in tutta la rete. I team di sicurezza informatica devono effettuare ricerche in modo rapido e approfondito senza causare il malfunzionamento dei sistemi oggetto di ricerca.
In che modo “ Tanium ” può esservi d’aiuto
Tanium contribuisce a proteggere dalla vulnerabilità Log4j grazie all’unica piattaforma in grado di fornire dati completi, accurati e altamente affidabili relativi all’ endpoint , che gode della fiducia delle organizzazioni più esigenti e complesse al mondo.
La piattaforma Tanium individua le istanze vulnerabili di Log4j.
- Tanium Reveal individua le istanze vulnerabili, comprese quelle ripackettate da fornitori terzi, in pochi minuti.
- Tanium Interact semplifica l'identificazione degli endpoint interessati e l'avvio dei flussi di lavoro previsti dal piano di ripristino.
Tanium Inoltre, il sito rileva i segni di sfruttamento.
- Tanium Threat Response rileva gli incidenti che indicano tentativi di attacco su tutti gli endpoint. Utilizzi Threat Response per isolare gli endpoint che presentano segni di compromissione o altre attività sospette.
Tanium aiuta i team di sicurezza a risolvere le minacce e a rafforzare la sicurezza degli endpoint contro eventuali violazioni.
- Tanium Deploy automatizza gli aggiornamenti del software non appena i fornitori rilasciano i pacchetti.
- Tanium Interact semplifica l'applicazione delle correzioni temporanee variabili dei sistemi.
Tanium Inoltre, il sito riporta informazioni relative all’esposizione alla vulnerabilità Log4j e ad altre minacce.
- Tanium Comply fornisce rapporti su tutti gli endpoint relativi alle lacune nella configurazione di sicurezza e alle vulnerabilità del software, utilizzando dati in tempo reale.
- Tanium Asset per creare report completi delle vostre risorse online e offline, consentendovi di identificare e monitorare le versioni vulnerabili del software.
Nel 94% delle aziende, endpoint le soluzioni di gestione non rilevano fino al 20% degli endpoint che necessitano di protezione. Tanium individua questi endpoint trascurati e offre una soluzione rapida ed efficace per individuare e mitigare Log4j minacce.
Tanium può aiutarLa a stabilire se questa vulnerabilità abbia un impatto sul Suo ambiente. Offriamo funzionalità che consentono alle organizzazioni di identificare Log4j gratuitamente. Ci contatti oggi stesso all’indirizzo.
