Log4Shell بعد شهر: أين ما زالت تختبئ

بعد شهر من Log4Shell، حدّثت معظم الفرق تطبيقات Java التي تعرفها. المشكلة في التي لا تعرفها. والأسبوع الماضي حذّرت لجنة التجارة الفيدرالية الأمريكية FTC الشركات من أنها قد تتخذ إجراءات ضد من يترك بيانات العملاء مكشوفة بسبب هذه الثغرة.

Log4j مكتبة تسجيل، لذلك هي في كل مكان، وغالبًا داخل أشياء أخرى. أين ما زلت أجدها:

• منتجات المورّدين: الـVPN، وأدوات النسخ الاحتياطي، والمراقبة، وVMware، وأنظمة المباني. راجع نشرة كل مورّد، لا كودك فقط.
• ملفات JAR الكبيرة وملفات WAR التي تضم Log4j بداخلها، فلا يراها بحث بسيط عن الملفات.
• صور حاويات قديمة ما زالت تعمل، أو على وشك إعادة النشر.
• خوادم منسية لا يملكها أحد: أنظمة اختبار، وشبكات داخلية قديمة، وذلك الخادم الوحيد للعبة Minecraft.

ماذا تفعل:

1. رقِّ إلى Log4j 2.17.1 أو أحدث (Java 8 وما فوق).
2. افحص بأداة تنظر داخل الملفات المضغوطة، مثل الماسحات المجانية التي نشرتها CISA وغيرها.
3. امنع خروج الخوادم إلى الإنترنت إن لم تكن تحتاجه. هذا يكسر الهجوم المعتاد حتى على الأنظمة التي فاتتك.
4. راجع السجلات منذ بداية ديسمبر بحثًا عن علامات استغلال.

هذه الثغرة ستبقى معنا سنوات. والقائمة التي تبنيها الآن ستفيدك في المرة القادمة.