США предупредили о новой уязвимости ПО: угрожает миллионам приложений и сервисов

Об уязвимости

Уязвимость находится в программном обеспечении на основе Java, известном как Log4j, которое крупные организации, в том числе некоторые из крупнейших мировых технологических компаний, используют для регистрации информации в своих приложениях. Технологические гиганты, такие как Amazon Web Services и IBM, уже начали исправлять ошибки в своих продуктах.

Уязвимость предоставляет хакеру относительно простой способ получить доступ к компьютерному серверу организации. Отсюда злоумышленник может получить другие способы доступа к системам в сети организации.

Apache Software Foundation, которая управляет программным обеспечением Log4j, выпустила исправление безопасности, которое могут применять организации.

Реакция властей США

В то время как крупные технологические компании изо всех сил пытаются сдержать последствия, официальные лица США провели телефонную беседу с руководителями отрасли, предупредив, что хакеры активно используют уязвимость.

"Эта уязвимость - одна из самых серьезных, которые я видела за всю свою карьеру, если не самая серьезная", - сказала директор CISA Джен Истерли.

"Мы ожидаем, что уязвимость будет широко использоваться опытными игроками, и у нас мало времени, чтобы предпринять необходимые шаги, чтобы снизить вероятность разрушительных инцидентов", - сказала Истерли.

Это самое серьезное предупреждение официальных лиц США об уязвимости программного обеспечения с тех пор, как в конце прошлой недели появились новости о том, что хакеры использовали ее, чтобы попытаться проникнуть в компьютерные сети организаций.

Эксперты сообщили CNN, что на устранение уязвимости могут уйти недели, и что подозреваемые китайские хакеры уже пытаются ее использовать.

Так, по данным компании Cloudflare, занимающейся кибербезопасностью, у злоумышленников было больше недели для использования уязвимости в программном обеспечении, прежде чем о ней стало публично известно.

По словам старшего вице-президента и технического директора компании по кибербезопасности Mandiant Чарльза Кармакала, хакеры, связанные с правительством Китая, уже начали использовать уязвимость. В Mandiant отказались сообщить, на какие организации нацелены хакеры.

Для решения этой проблемы CISA заявила, что создаст общедоступный веб-сайт с информацией о том, какие программные продукты были затронуты уязвимостью, и о методах, которые хакеры использовали для ее использования.