لا يزال Log4 يمثل مشكلة ، بعد عام من اكتشافه 

يصادف هذا الأسبوع الذكرى السنوية الأولى لاكتشاف ثغرة Log4j / Log4Shell الذي يؤثر على مكتبة تسجيل Java. وعلى الرغم من مرور عام على الحادث ، لا يزال عدد تنزيلات الإصدارات الضعيفة من Log4j مرتفعًا ، حيث تم حساب حوالي 30-40 ٪ من جميع التنزيلات للإصدار المكشوف.

كما ذكرت مؤخرا ، لا تزال العديد من المنظمات عرضة للخطر على الرغم من توفر الإصدارات المصححة قريبًا.

بالنسبة لأولئك الذين ليسوا على دراية بالضعف ، يجب أن يعرفوا ذلك ملحوظة لأنه يمكن تنفيذ الهجوم على تطبيقات Java تسجل القيم التي تم الحصول عليها من مصادر خارجية ، على سبيل المثال ، من خلال عرض القيم الإشكالية في رسائل الخطأ.

كانت ثغرة Log4j بمثابة جرس إنذار لجميع المؤسسات ولحظة يرغب العديد من المتخصصين في مجال الأمن في نسيانها. ومع ذلك ، مع الاستخدام الواسع النطاق لـ Log4j والشبكة المتزايدة من الخوادم الداخلية والخارجية من أجل التصحيح ، ستظل الثغرة الأمنية محسوسة لفترة طويلة.

من الملاحظ أن جميع المشاريع التي تستخدم أطر عمل مثل Apache Struts و Apache Solr و Apache Druid أو Apache Flink تتأثر بما في ذلك عملاء وخوادم Steam و Apple iCloud و Minecraft.

أنتجت Sonatype مركز موارد لعرضه حالة الضعف الحالية ، بالإضافة إلى أداة لمساعدة الشركات على مسح كود المصدر المفتوح الخاص بهم لمعرفة ما إذا كان قد تأثر.

تعرض لوحة القيادة النسبة المئوية لتنزيلات Log4j التي لا تزال ضعيفة (حاليًا حوالي 34٪ منذ ديسمبر الماضي). كما يعرض أيضًا أجزاء العالم التي شهدت أعلى نسبة من التنزيلات الضعيفة.

يقول Brian Fox ، CTO في Sonatype:

كان Log4j بمثابة تذكير صارخ بالأهمية الحاسمة لتأمين سلسلة توريد البرامج. تم استخدامه في جميع التطبيقات الحديثة تقريبًا وأثر على خدمات المنظمات في جميع أنحاء العالم. بعد مرور عام على حادثة Log4Shell ، لا يزال الوضع قاتمًا. وفقًا لبياناتنا ، 30-40٪ من جميع تنزيلات Log4j مخصصة للإصدار الضعيف ، على الرغم من إصدار التصحيح في غضون 24 ساعة من الكشف المبكر عن الثغرات الأمنية.

بالإضافة إلى ذلك ، يضيف أنه:

من الضروري أن تدرك المؤسسات أن معظم مخاطر المصادر المفتوحة تقع على عاتق المستهلكين ، الذين يجب عليهم تبني أفضل الممارسات بدلاً من إلقاء اللوم على الكود المعيب. لا يُعد Log4j حادثة منعزلة: 96٪ من تنزيلات المكونات مفتوحة المصدر المعرضة للخطر بها إصدار مصحح.

المنظمات بحاجة إلى رؤية أفضل من كل مكون مستخدم في سلاسل توريد البرامج الخاصة بهم. هذا هو السبب في أن حلول تحليل تكوين البرامج عالية الجودة مهمة للغاية اليوم حيث يفكر العالم في فائدة SBOMs في المستقبل.

يجب أن تطلب سياسة البرمجيات في المملكة المتحدة وأوروبا من المستهلكين التجاريين للبرامج المجانية أن يكونوا قادرين على تنفيذ ما يعادل عملية سحب معينة ، تمامًا كما تتوقع الشركات المصنعة للسلع المادية مثل صناعة السيارات. ستمنح الرؤية العامة مزايا إضافية للمنظمات ، مثل القدرة على اتخاذ قرارات بشأنها.

ونحن نمضي أصبح من الواضح أن المتسللين سيستمرون في استغلال الثغرة الأمنية. في فبراير ، استخدم قراصنة ترعاهم الدولة الإيرانية هذا الخطأ للدخول إلى شبكة حكومية أمريكية ، تعدين العملات المشفرة بشكل غير قانوني ، وسرقة بيانات الاعتماد وتغيير كلمات المرور. بعد ذلك ، في أكتوبر ، استخدمت مجموعة مرتبطة بالحكومة الصينية الثغرة الأمنية لشن هجمات ضد أهداف مختلفة ، بما في ذلك دولة في الشرق الأوسط وشركة تصنيع إلكترونيات.

لا تزال ثغرة Log4j تؤثر على المؤسسات اليوم. تحتل باستمرار المرتبة الأولى أو الثانية في تقارير التهديدات من مختلف شركات استشارات الأمن السيبراني ، مما يؤثر على 41 ٪ من المنظمات على مستوى العالم اعتبارًا من أكتوبر 2022.