आप अभी भी Log4J भेद्यता से जोखिम में हो सकते हैं

ख़तरनाक log4J भेद्यता मरने से इंकार कर दिया, यहां तक ​​कि महीनों बाद भी आसानी से शोषक बग के लिए एक फिक्स उपलब्ध कराया गया था।

रेजिलियन में साइबर सुरक्षा शोधकर्ता हाल ही में खोजा गया 68,000 से अधिक संभावित रूप से कमजोर Minecraft सहित 90,000 से अधिक असुरक्षित इंटरनेट-सामना करने वाले अनुप्रयोग सर्वर जिनके व्यवस्थापक ने अभी तक सुरक्षा पैच लागू नहीं किए हैं, उन्हें और उनके उपयोगकर्ताओं को साइबर हमले के लिए उजागर किया है। और इसके बारे में आप बहुत कम कर सकते हैं।

"दुर्भाग्य से, log4j हमें इंटरनेट उपयोगकर्ताओं को कुछ समय के लिए परेशान करेगा," हरमन सिंह, साइबर सुरक्षा सेवा प्रदाता में निदेशक

साइफेरेने लाइफवायर को ईमेल पर बताया। "चूंकि इस समस्या का सर्वर-साइड से शोषण किया जाता है, [लोग] सर्वर समझौता के प्रभाव से बचने के लिए बहुत कुछ नहीं कर सकते।"

हमेशा जानेवाला

भेद्यता, डब किया गया लॉग4 शेल, पहली बार दिसंबर 2021 में विस्तृत किया गया था। उस समय एक फोन ब्रीफिंग में, अमेरिकी साइबर सुरक्षा और बुनियादी ढांचा सुरक्षा एजेंसी (CISA) के निदेशक, जेन ईस्टरली, भेद्यता का वर्णन किया के रूप में "सबसे गंभीर में से एक जो मैंने अपने पूरे करियर में देखा है, यदि सबसे गंभीर नहीं है।"

Lifewire के साथ एक ईमेल एक्सचेंज में, पीट हाय, साइबर सुरक्षा परीक्षण और प्रशिक्षण कंपनी में निर्देशात्मक नेतृत्व सिमस्पेसने कहा कि समस्या के दायरे का अंदाजा इसी से लगाया जा सकता है कमजोर सेवाओं और अनुप्रयोगों का संकलन ऐप्पल, स्टीम, ट्विटर, अमेज़ॅन, लिंक्डइन, टेस्ला और दर्जनों अन्य जैसे लोकप्रिय विक्रेताओं से। अप्रत्याशित रूप से, साइबर सुरक्षा समुदाय ने पूरी ताकत से जवाब दिया, अपाचे ने लगभग तुरंत एक पैच लगाया।

अपने निष्कर्षों को साझा करते हुए, रेजिलियन शोधकर्ताओं ने आशा व्यक्त की कि बग के आसपास मीडिया कवरेज की भारी मात्रा को देखते हुए, अधिकांश, यदि सभी नहीं, तो कमजोर सर्वरों को पैच किया गया होगा। "हम गलत थे," हैरान शोधकर्ताओं ने लिखा। "दुर्भाग्य से, चीजें आदर्श से बहुत दूर हैं, और लॉग 4 शेल के लिए असुरक्षित कई एप्लिकेशन अभी भी जंगली में मौजूद हैं।"

शोधकर्ताओं ने शोडान इंटरनेट ऑफ थिंग्स (IoT) सर्च इंजन का उपयोग करते हुए कमजोर उदाहरणों को पाया और माना कि परिणाम सिर्फ हिमशैल के सिरे हैं। वास्तविक कमजोर हमले की सतह बहुत बड़ी है।

क्या आप जोखिम में हैं?

बल्कि महत्वपूर्ण उजागर हमले की सतह के बावजूद, हे का मानना ​​​​था कि औसत घरेलू उपयोगकर्ता के लिए कुछ अच्छी खबर है। "इनमें से अधिकांश [Log4J] कमजोरियां एप्लिकेशन सर्वर पर मौजूद हैं और इसलिए आपके घरेलू कंप्यूटर को प्रभावित करने की बहुत संभावना नहीं है," हे ने कहा।

हालांकि, जैक मार्सालो, वरिष्ठ निदेशक, उत्पाद विपणन साइबर सुरक्षा विक्रेता के साथ सफेद स्रोत, ने बताया कि लोग ऑनलाइन शॉपिंग से लेकर ऑनलाइन गेम खेलने तक, हर समय इंटरनेट पर एप्लिकेशन के साथ इंटरैक्ट करते हैं, जिससे उन्हें द्वितीयक हमलों का सामना करना पड़ता है। एक समझौता किया गया सर्वर संभावित रूप से उन सभी सूचनाओं को प्रकट कर सकता है जो सेवा प्रदाता अपने उपयोगकर्ता के बारे में रखता है।

मार्सल ने चेतावनी दी, "ऐसा कोई तरीका नहीं है जिससे कोई व्यक्ति यह सुनिश्चित कर सके कि जिस एप्लिकेशन सर्वर से वे इंटरैक्ट करते हैं, वे हमले की चपेट में नहीं हैं।" "दृश्यता बस मौजूद नहीं है।"

एक सकारात्मक नोट पर, सिंह ने बताया कि कुछ विक्रेताओं ने घरेलू उपयोगकर्ताओं के लिए भेद्यता को दूर करने के लिए इसे काफी सरल बना दिया है। उदाहरण के लिए, की ओर इशारा करते हुए आधिकारिक Minecraft नोटिस, उन्होंने कहा कि जो लोग गेम के जावा संस्करण को खेलते हैं उन्हें बस सभी चल रहे उदाहरणों को बंद करने की आवश्यकता है खेल के और Minecraft लांचर को पुनरारंभ करें, जो पैच किए गए संस्करण को डाउनलोड करेगा खुद ब खुद।

प्रक्रिया थोड़ी अधिक जटिल और शामिल है यदि आप सुनिश्चित नहीं हैं कि आप अपने कंप्यूटर पर कौन से जावा एप्लिकेशन चला रहे हैं। Hay ने .jar, .ear, या .war एक्सटेंशन वाली फ़ाइलों की तलाश करने का सुझाव दिया। हालाँकि, उन्होंने कहा कि इन फ़ाइलों की उपस्थिति यह निर्धारित करने के लिए पर्याप्त नहीं है कि क्या वे log4j भेद्यता के संपर्क में हैं।

उन्होंने लोगों को सुझाव दिया स्क्रिप्ट का उपयोग करें कार्नेगी मेलन यूनिवर्सिटी (सीएमयू) सॉफ्टवेयर इंजीनियरिंग इंस्टीट्यूट (एसईआई) कंप्यूटर इमरजेंसी रेडीनेस टीम (सीईआरटी) द्वारा अपने कंप्यूटरों को भेद्यता के लिए फंसाने के लिए रखा गया है। हालाँकि, स्क्रिप्ट ग्राफिकल नहीं हैं, और उनका उपयोग करने के लिए कमांड लाइन पर उतरना आवश्यक है।

सभी बातों पर विचार किया गया, मार्सल का मानना ​​​​था कि आज की जुड़ी हुई दुनिया में, सुरक्षित रहने के लिए अपना सर्वश्रेष्ठ प्रयास करना सभी पर निर्भर है। सिंह ने सहमति व्यक्त की और लोगों को बुनियादी डेस्कटॉप सुरक्षा प्रथाओं का पालन करने की सलाह दी ताकि वे भेद्यता का फायदा उठाकर किसी भी दुर्भावनापूर्ण गतिविधि के शीर्ष पर बने रहें।

सिंह ने सुझाव दिया, "[लोग] यह सुनिश्चित कर सकते हैं कि उनके सिस्टम और डिवाइस अपडेट हैं और एंडपॉइंट सुरक्षा मौजूद है।" "इससे उन्हें किसी भी धोखाधड़ी अलर्ट और जंगली शोषण से किसी भी नतीजे के खिलाफ रोकथाम में मदद मिलेगी।"