Çin’in internet düzenleyicisi Sanayi ve Bilgi Teknolojileri Bakanlığı (MIIT), e-ticaret devi Alibaba Group’un bulut bilişim yan kuruluşu Alibaba Cloud ile ortaklığını, geniş anlamda etkileyen kritik bir güvenlik açığını derhal bildirmediği için altı ay boyunca askıya aldı. Log4j günlük kitaplığını kullandı.
Gelişmeyi bildirdi Reuters ve Güney Çin Sabah PostasıÇin iş haberleri günlük gazetesi 21st Century Business Herald’ın bir raporuna atıfta bulundu.
Reuters, “Alibaba Cloud, popüler, açık kaynaklı günlük kaydı çerçevesi Apache Log4j2’deki güvenlik açıklarını Çin’in telekomünikasyon düzenleyicisine hemen bildirmedi” dedi. Buna karşılık MIIT, siber güvenlik tehditleri ve bilgi paylaşım platformlarıyla ilgili olarak bulut birimiyle işbirliğine dayalı bir ortaklığa ara verdi.”
CVE-2021-44228 (CVSS puanı: 10.0) olarak izlendi ve kod adı verildi Log4Shell veya LogJam, feci güvenlik açığı, kötü niyetli aktörlerin yazılım tarafından günlüğe özel hazırlanmış bir dize alarak uzaktan kod yürütmesine izin verir.
Hatanın kamuya açıklanmasını yayınlayın, Log4Shell, çeşitli tüketici ve kurumsal hizmetlerde, web sitelerinde bulunabilen kütüphanenin neredeyse her yerde kullanımı sayesinde, hassas sunucuların kontrolünü ele geçirmek için tehdit aktörleri tarafından yaygın bir şekilde sömürülmüştür. güvenlik ve performans bilgilerini günlüğe kaydetmek için buna dayanan operasyonel teknoloji ürünlerinde olduğu gibi uygulamalarda.
Alibaba Cloud’dan Chen Zhaojun, 24 Kasım’da kusuru bildirdiği için itibar kazandı. Siber güvenlik topluluğu tarafından Log4j’ye yönelik daha fazla araştırma, o zamandan beri Java tabanlı araçta üç kusur daha ortaya çıkardı ve Apache Yazılım Vakfı’nın (ASF) bir dizi göndermesini istedi. kusurlardan yararlanan gerçek dünya saldırılarını içeren yamalar.
İsrail güvenlik firması Check Point kayıt edilmiş Bilinen kötü niyetli gruplar tarafından yapılan bu izinsiz girişlerin %46’sı ile şimdiye kadar 4,3 milyondan fazla istismar girişimini engellediğini bildirdi. MIIT, daha önce “Bu güvenlik açığı, cihazın uzaktan kontrol edilmesine neden olabilir ve bu da hassas bilgilerin çalınması ve cihaz hizmet kesintisi gibi ciddi tehlikelere yol açacaktır” dedi. söz konusu 17 Aralık’ta yayınlanan bir kamu açıklamasında.
Hareket ayrıca, Çin hükümetinin, kritik kusurlardan etkilenen yazılım ve ağ satıcılarının bunları ilk elden devlet yetkililerine zorunlu olarak ifşa etmelerini zorunlu kılan yeni, daha katı güvenlik açığı açıklama düzenlemeleri yayınlamasından aylar sonra geldi.
Eylül ayında hükümet de takip etti ağlar, mobil uygulamalar, endüstriyel kontrol sistemleri, akıllı arabalar, IoT cihazları ve tehdit aktörleri tarafından hedef alınabilecek diğer internet ürünlerindeki güvenlik açıklarının raporlanması için “siber uzay güvenlik ve güvenlik açığı profesyonel veritabanları” başlatarak.
.
siber-2