Onderzoek: bijna 40 procent Log4j-applicaties draait kwetsbare versie
Het is inmiddels twee jaar geleden dat een kritieke kwetsbaarheid in de populaire open source Apache Log4j 2-library voor wereldwijde aandacht zorgde. Twee jaar verder blijkt dat bijna veertig procent van de Log4j-applicaties een kwetsbare versie van de library gebruikt. Dat stelt securitybedrijf Veracode op basis van eigen onderzoek.
Log4j 2 is een tool voor het loggen van informatie van Java-applicaties. Zo kunnen ontwikkelaars, door de library aan hun Java-applicatie toe te voegen, bijvoorbeeld problemen met de applicatie ontdekken. Een kwetsbaarheid zorgde ervoor dat wanneer de library een bepaalde string logt een aanvaller willekeurige code kan uitvoeren en zo controle over de applicatieserver kan krijgen.
De kwetsbaarheid, aangeduid als CVE-2021-44228 en Log4Shell, zorgde vanwege de impact en het wijdverbreide gebruik van de software voor zorgen over grootschalig misbruik. Zo vreesde het ministerie van Volksgezondheid voor grote uitval in de zorgsector door het Log4j-lek. De omvang van het daadwerkelijke misbruik bleek later mee te vallen. Toch liet Log4Shell het risico van third-party code binnen applicaties zien en hoe belangrijk het is dat softwareontwikkelaars dergelijke componenten up-to-date houden.
Veracode analyseerde meer dan 38.000 applicaties die van Log4j gebruikmaken. Bijna drie procent blijkt een versie te gebruiken waarin het oorspronkelijk Log4Shell-lek in aanwezig is. Verder draait bijna vier procent van de onderzochte applicaties Log4j2 versie 2.17.0. Deze versie bevat een beveiligingslek dat remote code execution mogelijk maakt. Tevens blijkt 32 procent van de applicaties gebruik te maken van Log4j2 versie 1.2.x. Deze versie is sinds augustus 2015 end-of-life en ontvangt geen updates meer. In deze versie zijn echter meerdere kritieke kwetsbaarheden gevonden die nog altijd ongepatcht zijn.
"Het grotere verhaal op de tweede verjaardag is dat er nog steeds ruimte voor verbetering is wanneer het aankomt op de security van opensourcesoftware. Als Log4Shell weer een voorbeeld was van een lange reeks wake-up calls om strengere open source security practices toe te passen, laat het feit dat één op de drie applicaties een kwetsbare versie van Log4j draait dat er nog veel meer werk is te doen", aldus Veracode.
Dat is voor zowel open- als closed-source vrees ik.
Dat is voor zowel open- als closed-source vrees ik.
Dat is voor zowel open- als closed-source vrees ik.
Mensen (slachtoffers) houden het stil denk ik
https://blog.talosintelligence.com/lazarus_new_rats_dlang_and_telegram/
Je kunt natuurlijk ook de specifieke kwetsbare onderdelen niet gebruiken.
Onder het motto: Als je overdag fiets mag je lamp best kapot zijn.
Je kunt natuurlijk ook de specifieke kwetsbare onderdelen niet gebruiken.
Dit lijkt meer op een fiets die zonder dat je er weet van hebt een zware springveer onder de zadelpen heeft zitten, die geactiveerd wordt als iemand in de buurt "spring!" roept, en dan word de berijder gelanceerd. Een aanvaller die dat trucje ontdekt heeft kan zware ongelukken veroorzaken. Op zo'n fiets moet je niet rijden tot die springveer verwijderd is.
Zo'n springveer hoort natuurlijk om te beginnen helemaal niet in een fiets te zitten. Als een circusartiest een fiets met een springstoel nodig heeft moet die dat zelf maar in elkaar knutselen. Op dezelfde manier hoort een logfaciliteit zich gewoon tot zijn functie te beperken. Een functie waarmee een externe partij de werking van de logfaciliteit kan beïnvloeden, tot remote code-injectie aan toe, hoort er net zo min in thuis als die springveer in die fiets hoort. Wie er toch behoefte aan heeft moet het zelf maar toevoegen (waarvoor ook weer handige kant en klare softwarecomponenten gemaakt kunnen worden; het punt is dat het niet kant en klaar erin moet zitten maar een toevoeging moet zijn die je bewust doet).
Dat is voor zowel open- als closed-source vrees ik.
Mensen (slachtoffers) houden het stil denk ik
https://blog.talosintelligence.com/lazarus_new_rats_dlang_and_telegram/
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
