Các cơ quan an ninh mạng từ Úc, Canada, New Zealand, Mỹ và Anh hôm thứ Tư đã đưa ra một tư vấn chung để đối phó với việc khai thác rộng rãi nhiều lỗ hổng trong thư viện phần mềm Log4j của Apache bởi những kẻ bất chính.

Log4J Scanner https://github.com/cisagov/log4j-scanner

“Các lỗ hổng này, đặc biệt là Log4Shell, rất nghiêm trọng”, các cơ quan tình báo cho biết trong hướng dẫn mới . “Các tác nhân đe dọa đang tích cực quét các mạng để có khả năng khai thác Log4Shell , CVE-2021-45046 và CVE-2021-45105 trong các hệ thống dễ bị tấn công. Những lỗ hổng này có khả năng bị khai thác trong một thời gian dài.”

Kẻ tấn công có thể khai thác Log4Shell (CVE-2021-44228) bằng cách gửi một yêu cầu đặc biệt thông quan JNDI API tới một hệ thống dễ bị tấn công khiến hệ thống đó bị thực thi mã tùy ý. Mặt khác, CVE-2021-45046 cho phép thực thi mã từ xa trong một số cấu hình không mặc định, trong khi CVE-2021-45105 có thể bị kẻ tấn công từ xa lợi dụng để gây ra tình trạng từ chối dịch vụ (DoS).

Kể từ khi các lỗ hổng được công khai trong tháng này, các máy chủ chưa được vá đã bị bao vây từ các nhóm ransomware cho đến các hacker quốc gia, những kẻ đã sử dụng vector tấn công như một đường dẫn để truy cập vào các mạng để triển khai các đèn hiệu Cobalt Strike, máy tính tiền mã hóa và phần mềm độc hại botnet.

Đánh giá của Cục Điều tra Liên bang Hoa Kỳ (FBI) về các cuộc tấn công cũng làm dấy lên khả năng các kẻ đe dọa đang kết hợp các lỗ hổng vào “các kế hoạch tội phạm mạng hiện có đang tìm cách áp dụng các kỹ thuật làm nhiễu loạn ngày càng tinh vi.” Do mức độ nghiêm trọng của các lỗ hổng và khả năng bị khai thác gia tăng, các tổ chức đang được khuyến khích xác định, giảm thiểu và cập nhật các tài sản bị ảnh hưởng càng sớm càng tốt.

Để đạt được mục tiêu đó, Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã phát hành một tiện ích quét để xác định các hệ thống dễ bị tấn công bởi lỗ hổng Log4Shell, sao chép một công cụ tương tự do Trung tâm Điều phối CERT (CERT / CC) phát hành.

Tuy nhiên, công ty an ninh mạng Rezilion của Israel, trong một đánh giá được công bố trong tuần này, đã phát hiện ra rằng các công cụ quét thương mại không được trang bị đầy đủ để phát hiện tất cả các định dạng của thư viện Log4j trong một môi trường do thực tế là các phiên bản thường nằm sâu trong mã khác, tiết lộ “điểm mù” trong các tiện ích như vậy và những hạn chế của quét tĩnh.

“Thách thức lớn nhất nằm trong việc phát hiện Log4Shell trong phần mềm đóng gói trong môi trường sản xuất: Các tệp Java (chẳng hạn như Log4j) có thể được lồng một vài lớp sâu vào các tệp khác – có nghĩa là một tìm kiếm sâu cho tệp sẽ không tìm thấy nó”, Yotam Perkal, trưởng nhóm nghiên cứu lỗ hổng tại Rezilion, cho biết . “Hơn nữa, chúng có thể được đóng gói ở nhiều định dạng khác nhau, điều này tạo ra một thách thức thực sự trong việc đào chúng bên trong các gói Java khác.”

Việc công khai Log4Shell cũng đã khiến một số nhà cung cấp công nghệ triển khai các bản vá cho phần mềm có lỗ hổng này. Các công ty mới nhất phát hành bản cập nhật là NVIDIA và HPE , tham gia vào một danh sách dài các nhà cung cấp đã xuất bản lời khuyên bảo mật nêu chi tiết các sản phẩm bị ảnh hưởng bởi lỗ hổng bảo mật.

Bước mới nhất mà các chính phủ thực hiện là Tổ chức Phần mềm Apache (ASF) vào thứ Hai đã phát hành các bản cập nhật cho Máy chủ Apache HTTP để giải quyết hai lỗi – CVE-2021-44790 (điểm CVSS: 9,8) và CVE-2021-44224 (điểm CVSS: 8.2) – trước đó có thể được vũ khí hóa bởi kẻ tấn công từ xa để thực thi mã tùy ý và kiểm soát một hệ thống bị ảnh hưởng.

Công ty có trụ sở tại Redmond cũng đã cung cấp hướng dẫn từng bước để giúp người dùng xác định chắc chắn liệu các lỗ hổng bảo mật có thể đã bị khai thác trong môi trường của họ hay không. “Như mọi khi, chúng tôi đặc biệt khuyên bạn nên triển khai các bản vá mới nhất trên bộ điều khiển miền càng sớm càng tốt”, Microsoft cho biết. Theo THN

AT3 EDU VN – Học Tấn Công Để Phòng Thủ CEH v11 ANSI – Nâng Cao Với CEH MASTER

Hành trang Số 1 cho PENTESTER với PEN+, CPENT – Điều Tra Chứng Cứ Số CHFI v10

Nhập Môn AT3 qua Comptia Security +.

Tự tin Offer Lương Ngàn USD Khi Nắm Giữ Tứ Đại SEC CERT Comptia Security + vs PENTEST + vs CASP + vs CySA+