Bezpečnostní experti jsou od konce minulého týdne jako na trní. Nenápadná chyba v programové knihovně se změnila v bezpečnostní noční můru a počet pokusů o její zneužití již zvládl dosáhnout regulérních pandemických rozměrů.
Prý je dokonce nejhorší zranitelností v historii internetu vůbec. Dotýká se prakticky všech, byť těžkou hlavu dělá hlavně správcům podnikových sítí. Jediné, na co se s odstupem času různí názory, je její skutečná nebezpečnost.
O co jde? Začněme od Adama, respektive od Apache. V masově používané open-source knihovně Apache Log4j, která se stará o ukládání záznamů, co se v počítači a síti děje, byla objevena velmi závažná chyba umožňující útočníkům spouštět vzdáleně libovolný kód a převzít plnou kontrolu nad systémem na napadeném serveru.
Zranitelnost lze zneužít k automatizovanému šíření malwaru, krádeži dat a nasazování ransomware. Knihovnu využívá většina populárních Java aplikací, takže na ni musely urychleně reagovat například cloudové služby typu Amazon Web Services, Apple iCloud, Google Drive, Microsoft OneDrive, sociální sítě či herní servery Minecraftu nebo Steam.
Protože uvedenou knihovnu často využívají i služby kritické infrastruktury nebo různé regulované subjekty, dotýká se bez nadsázky nás všech. Chyba dostala označení CVE-2021—44228, ale můžete se s ní setkat také pod romantičtějším označením Log4Shell nebo LogJam.
Všechny aplikace pracující s verzemi knihovny 2.0-beta9 až 2.14.1 jsou potenciální obětí této zranitelnosti, objevené bezpečnostní komunitou 10. prosince. Od té doby nastal závod s časem – podobně jako u jiných nově objevených slabin představuje vítaný cíl pro útočníky, kteří se snaží využít časového okna mezi záplatováním zranitelných systémů ve svůj prospěch.
A útočníci na sebe tentokrát opravdu nenechali dlouho čekat. Čínští a iráčtí hackeři nebo programy načerno těžící kryptoměny na vašich zařízeních jsou jen špička ledovce mezi těmi, kdo se nyní pokouší chybu zneužít. V pátek po odhalení zranitelnosti byly podle izraelské kyberbezpečnostní společnosti Check Point Software Technologies hlášené první tisíce útoků.
Již během soboty ale jejich počet vzrostl na 40 tisíc a 72 hodin po odhalení zranitelnosti počet útoků překročil hranici 800 000. Navzdory vydané záplatě počet dále rychle stoupá a objevují se také nové varianty původní zranitelnosti.
V České republice hlásilo pokusy o zneužití zranitelnosti jedenapadesát procent podnikových sítí. Podle slovenského Esetu se dokonce Česká republika nalézá na osmé příčce mezi nejčastěji napadanými státy.
„V našich datech vidíme významný počet pokusů o exploitaci, kde se Česká republika řadí na osmé místo. Pro srovnání je na prvním místě Japonsko následované Spojenými státy a Polskem, Slovensko uzavírá druhou desítku na osmnáctém místě,“ vypočítává bezpečnostní analytik Jiří Kropáč z Esetu.
„V současné době evidujeme vysokou frekvenci skenování potenciálně zranitelných systémů v Česku a řadu aktivních zneužití, která budou v následujících dnech velmi pravděpodobně narůstat,“ komentoval aktuální stav také Národní úřad pro kybernetickou a informační bezpečnost.
Zároveň ve středu vydal ke zranitelnosti veřejnou vyhlášku s povely pro kritickou infrastrukturu státu. Úřady i ministerstva tak nyní mají celkem napilno. Správci počítačové infrastruktury si navíc často nemusí být vůbec vědomi, že knihovnu využívají, neboť může být klidně vnořenou součástí jiné knihovny, například nějakého nepodstatného softwaru.
V narychlo vydané opravě byla navíc objevena chyba nová. Nese označení CVE 2021—45046, ale u té to naštěstí zatím vypadá, že je podstatně méně závažná.
16. 12. 20214 min
Karel Wolf
redaktor Forbes Česko
Věnuje se analýze krypto trhu, zamýšlí se nad smysluplným využitím Bitcoinu a zkoumá zákonitosti fungování finančních trhů. Dříve pracoval jako redaktor serveru Lupa.cz a jako šéfredaktor vedl ADASTRA Business Intelligence Magazine a B2B technologický server ITbiz.cz. V minulosti externě pokrýval problematiku blockchainu pro KPMG Česká republika, pracoval jako kryptoměnový analytik pro Roklen360, a jako poradce spolupracoval s Braiins či Creative Dock.
