Новый эксплойт под названием «Log4Shell» создает головную боль командам безопасности в крупных технологических компаниях. При эксплуатации уязвимость позволяет хакерам запускать вредоносный код на уязвимых серверах и, как сообщается, может повлиять на такие платформы, как iCloud и Steam.
Как подробно рассказала компания по безопасности LunaSec (через Verge), уязвимость была впервые обнаружена в log4j, библиотеке с открытым исходным кодом, используемой несколькими приложениями и веб-сайтами для ведения журнала — процесса ведения списка выполненных действий для их просмотра. позже для исправления ошибок или других ошибок.
По словам исследователя безопасности Маркуса Хатчинса, Log4Shell может повлиять на миллионы приложений по всему миру, поскольку библиотека log4j широко используется разработчиками. Чтобы воспользоваться уязвимостью, хакерам необходимо сохранить в журнале специальную строку с определенными символами.
Чтобы воспользоваться уязвимостью, злоумышленник должен заставить приложение сохранить в журнале специальную строку символов. Поскольку приложения регулярно регистрируют широкий спектр событий, таких как сообщения, отправленные и полученные пользователями, или подробные сведения о системных ошибках, уязвимость необычайно проста в использовании и может быть вызвана различными способами.
Эксплойт Log4Shell недавно был замечен на серверах Minecraft, где хакеры использовали уязвимость через сообщения чата. LunaSec утверждает, что Apple iCloud также уязвима для нового эксплойта. Злоумышленники могут даже вызвать вредоносный код через QR-коды, что делает эксплойт еще более опасным.
Apple и другие компании не ответили на запрос о комментариях, но, безусловно, все они работают, чтобы исправить все нарушения как можно скорее.
