Крупные технологические компании изо всех сил пытаются заткнуть дыры в программном обеспечении для ведения журнала

0
QNAP распространяет критические обновления для некоторых неподдерживаемых устройств NAS

Некоторые из крупнейших мировых технологических компаний все еще пытаются обезопасить свои продукты от зияющей уязвимости в общем программном обеспечении для ведения журналов через неделю после того, как хакеры начали пытаться ее использовать.

Cisco Systems, IBM, VMware и Splunk были среди компаний, которые в четверг использовали несколько некорректных программных продуктов без доступных исправлений для Log4j. уязвимость, согласно текущему подсчету, опубликованному Агентством по кибербезопасности и безопасности инфраструктуры США.

Программное обеспечение для ведения журналов — это повсеместное программное обеспечение, которое отслеживает такие действия, как посещения сайтов, клики и чаты.

Усилия компании подчеркивают широкий диапазон недостатков, обнаруженных в программном обеспечении с открытым исходным кодом, которые официальные лица и исследователи описывают как наихудший недостаток, который они видели за последние годы.

В начале этого месяца исследователь китайской технологической компании Alibaba предупредил некоммерческую организацию Apache Software Foundation, что Log4j будет не только отслеживать чаты или клики, но и переходить по ссылкам на внешние сайты, что может позволить хакеру взять под контроль сервер.

Apache поспешно выпустил исправление для программы. Но тысячи других программ используют бесплатный регистратор, и те, кто отвечает за них, должны подготовить и распространить свои собственные исправления, чтобы предотвратить поглощение. Это включает в себя другое бесплатное программное обеспечение, поддерживаемое волонтерами, а также программы от больших и малых компаний, инженеры некоторых из которых работают круглосуточно.

«Многие поставщики не имеют исправлений безопасности для этой уязвимости», — сказал аналитик угроз безопасности Кевин Бомонт, который помогает составить список для CISA. «Поставщикам программного обеспечения необходимо иметь более качественные и общедоступные инвентаризации использования программного обеспечения с открытым исходным кодом, чтобы было легче оценивать риски — как для себя, так и для своих клиентов».

Некоторые компании, в том числе Cisco, обновляют руководство несколько раз в день с подтверждением уязвимостей, доступных исправлений или стратегий для смягчения или обнаружения вторжений, когда они происходят.

По состоянию на четверг список CISA включал около 20 продуктов Cisco, уязвимых для атак без доступного патча, в том числе Cisco WebEx Meetings Server и Cisco Umbrella, продукт облачной безопасности.

Но многие другие были перечислены как «находящиеся под следствием», чтобы проверить, уязвимы ли они.

«Cisco исследовала более 200 продуктов, и около 130 не являются уязвимыми», — сказал представитель компании. «Для многих затронутых продуктов есть даты, когда можно установить исправления программного обеспечения».

VMware постоянно обновляет рекомендации на своем сайте с десятками затронутых продуктов, многие из которых имеют критические уязвимости и «ожидающие исправления». У некоторых из тех, у кого нет патча, есть обходные пути, чтобы уменьшить дыры.

У Splunk есть аналогичный список, а также советы по охоте на хакеров, пытающихся злоупотребить уязвимостью.

IBM перечислила неуязвимые продукты, но заявила, что «не подтверждает и не раскрывает иным образом уязвимости извне, даже отдельным клиентам, до тех пор, пока исправление или исправление не будет доступно».

Хотя Microsoft, Mandiant и CrowdStrike заявили, что видят, как злоумышленники из более оснащенных противников США исследуют уязвимость Log4j, официальные лица CISA заявили в среду, что не подтвердили никаких успешных атак при поддержке правительства или каких-либо вторжений в оборудование правительства США.

Последнее обновление 8 месяцев назад — GameZoom

0 0 голоса
Рейтинг статьи
Подписаться
Уведомить о
guest

0 комментариев
Межтекстовые Отзывы
Посмотреть все комментарии