Log4Shelli potentsiaalne ründepind on endiselt märkimisväärne
Paljud analüütikud ja turbeeksperdid on nimetanud Log4Shelli, millele mõnikord viidatakse ka Log4j -käepideme kasutamisele. Pärast Apache Java teegi nime, millest see leiti, on paljud analüütikud ja turvaeksperdid nimetanud kümnendi tarkvara haavatavaks. Haavatavus avastati päris 2021. aasta lõpus. Neli kuud mööda teed ja kümneid hoiatusi ja hoiatusi hiljem – kui palju turvalisem on ülemaailmne IT-maastik Log4Shelli puhul?
Log4Shelli aruanne pole optimistlik
Turvafirma Rezilioni teadlaste meeskond tegi analüüsi, püüdes hinnata Log4Shelli suhtes endiselt haavatavate süsteemide potentsiaalset rünnakupinda. Haavatavus asub ülipopulaarse Apache logimisteegi vanemas versioonis, mis töötab Java peal. Rezilioni uurimisrühma tulemused ei olnud julgustavad.
Nagu arvata võis, lootis ka Rezilion, et Log4Shelli avastuse järel välja antud lõputu meediakajastuse, artiklite ja hoiatuste voo tõttu oleks valdav enamus haavatavat tarkvara kasutavaid juhtumeid juba ammu paigatud. Siiski ei olnud meeskonna tulemused nii positiivsed, kui nad lootsid.
Rezilioni raport potentsiaalse ründepinna analüüsi kohta nimetab globaalset Log4Shelli olukorda ideaalsest kaugel. Spetsiaalse Shodani mootori abil otsis meeskond tarkvara ja serverite aegunud versioone, mis on Log4Shelli suhtes haavatavad. Tulemuseks oli vapustav 90 000 haavatavat punkti, mis avaldati Internetile. Uurimisrühma sõnul on see arv, kuigi juba märkimisväärne, vaid "jäämäe tipp", võrreldes Log4Shelli tõenäolise täieliku potentsiaalse ründepinnaga.
Minecrafti serverid toodi uurimisaruandes välja täiesti eraldiseisva kategooriana Microsoftile kuuluva mängu tohutu populaarsuse tõttu.
Log4Shelli pikk mäng
Ohustatud osapooled on juba mõne tunni jooksul pärast haavatavuse avastamist jälitanud, teades, et viga sisaldavat Java logimisraamistikku kasutavate seadmete tohutul hulgal kulub lappimiseks palju aega. Alates vea avastamisest tekkis igal nädalal uusi meetodeid ja katseid haavatavusele erineval viisil läheneda.
Kuigi nii laialt levinud haavatavuse ründepind ei kao tõenäoliselt kunagi täielikult, on numbrid endiselt murettekitavad ja lähikuudel on oodata rohkem katseid Log4Shelli ära kasutada.