Log4j kwetsbaarheid blijft komende weken voor ravage zorgen

Theresa Payton, voormalig Chief Information Officer van het Witte Huis en CEO van cyberbeveiligingsadviesbureau Fortalice Solutions, zegt in deze blog dat Log4j-kwetsbaarheid de komende weken of mogelijk maanden voor ravage zal blijven zorgen.

Deze kwetsbaarheid is een groot probleem. Log4j bestaat al bijna een decennium. Zie het als uw bibliotheek met alles wat u kunt loggen. We vertellen organisaties dat ze 'alles moeten loggen' dat je het later misschien nodig hebt voor forensisch onderzoek. Log4J wordt dus vaak gebruikt door Java-ontwikkelaars wanneer ze willen loggen dat een persoon is ingelogd en kan het zelfs gebruiken om toegang tot applicaties te volgen.

Veel bedrijven weten misschien niet eens of ze Log4j hebben gebruikt, wat het nog moeilijker maakt om de omvang van het probleem te kennen. Om erachter te komen, zouden ze een software-engineer nodig hebben om door de verschillende systemen te gaan om het gebruik te zoeken en vervolgens naar de versies te kijken. Het kan een tijdrovend proces zijn en tijd is iets dat je niet hebt als je tegen de klok racet tegen slechte acteurs die deze kwetsbaarheden willen misbruiken.

Wanneer er een beveiligingsprobleem wordt gevonden, neemt de CISO doorgaans de leiding om systemen bij te werken en te patchen of om een handmatige oplossing in te voeren. Log4j is meer verraderlijk en verborgen en niet volledig in de controle van de CISO.

Om deze kwetsbaarheid op te sporen en te vinden, is iedereen nodig die een programmeur is. Waar vindt ontwikkeling tegenwoordig plaats - overal! Ontwikkelaars kunnen intern personeel, uitbestede ontwikkeling, offshore ontwikkeling en externe leveranciers zijn.

De implicaties van de exploitatie van deze kwetsbaarheid kan een nachtmerrie worden. Een onethische hacker met kennis en toegang zou deze kwetsbaarheid kunnen gebruiken en servers kunnen targeten met behulp van deze logfunctie met externe code-uitvoering op servers. Volgens PC Mag lopen bedrijven zoals Apple, Twitter, Valve, Tencent en andere grote serviceproviders gevaar als ze het niet vinden en patchen voordat de criminelen het vinden. Veel bedrijven en overheidsinstanties lopen risico totdat dit beveiligingslek is verholpen.

Door: Theresa Payton, voormalig Chief Information Officer van het Witte Huis en CEO van cyberbeveiligingsadviesbureau Fortalice Solutions