Java номын сангийн Log4j дахь алдар нэр хүндтэй эмзэг байдлын нөлөөлөл удаан үргэлжилж байна. Хэдийгээр хамгийн том асуудал нь яаралтай засвар 2.16-аар шийдэгдсэн боловч энэ хувилбар нь бас хүчирхийлэлд өртөмтгий байх шиг байна. Аюулгүй байдлын судлаачид Үйлчилгээнээс татгалзах (DoS) халдлага хийх гарц олжээ. Бичлэгийг хаахын тулд Log4j 2.17 нийтлэгдсэн.
Java номын сангийн хөгжүүлэгч Apache нь яаралтай нөхөөсийг хэрэглэхийг байгууллагуудад зөвлөж байна. Энэхүү зөвлөгөө нь номын сан эмзэг болох нь тогтоогдсоноос хойш гурав дахь удаагаа хэрэгжиж байна.
Долоо хоног хагасын өмнө Алибабагийн аюулгүй байдлын судлаачид cloud Аюулгүй байдлын баг Log4j программыг урвуулан ашиглах аргыг илрүүлсэн. Log4j нь үйл явдлыг бүртгэх програмуудад ашиглагддаг. Хортой програмыг ажиллуулах зааварчилгаа бүхий номын сантай програмуудад гаднаас хандах боломжтой болсон. Хүчирхийлэл нь хоромхон зуурт хүрэхээс арай илүү хугацаа шаарддаг. Үүн дээр ихэнх корпорацийн орчинд номын сангийн тооцоолсон тохиолдлыг нэмбэл дэлхийн мэдээллийн технологийн ландшафтд тулгарч буй гамшгийн цар хүрээг та ойлгож байна.
Fortinet, Cisco, IBM болон бусад олон арван програм хангамж хөгжүүлэгчид өөрсдийн програм хангамжид номын санг ашигладаг. Тэдний хөгжүүлэгчид 11-р сарын 2.15-ний амралтын өдрүүдэд илүү цагаар ажиллаж, эмзэг байдлын анхны яаралтай засварыг боловсруулж, хэрэглэгчдэд хүргэхээр ажилласан. Эдгээр байгууллагуудын мэдээллийн технологийн багуудаас яг ижил өөрчлөлтийг хүлээж байсан. Дэлхий даяар хэдэн зуун мянган халдлага үйлдэв. Хүн бүр аль болох хурдан 2.15-д шилжих шаардлагатай болсон - XNUMX хүртэл мөн эмзэг болох нь тогтоогдсон.
Номын сангийн зарим тохиргоог 2.15 хувилбарт хийх боломжтой хэвээр байна. Эдгээр тохиргоог ашиглах нь эмзэг байдлыг улам бүр нэмэгдүүлсэн. 2.16 хувилбар нь тохиргоог хийх боломжгүй болгож, шинэ нөхөөсийг баталгаажуулсан. Ихэнхдээ хэт ачаалалтай ажиллаж байсан мэдээллийн технологийн багуудын уй гашуу. Гэсэн хэдий ч энэ нь үргэлж муу байж болно, учир нь 2.16 нь өвчинтэй байдаг.
Эхлэл рүү буцна уу
Энэ асуудалд дэлхий нийтээр асар их анхаарал хандуулж байгаа нь дэлхий даяар асар их судалгаа явуулахад хүргэв. Номын сангийн хөгжүүлэгч Апачи аюулгүй байдлын компани шинэ, тулгамдсан асуудлыг заагаагүй бол хоёр өдрийн турш амьсгал хурааж чадахгүй бололтой.
Товчхондоо, log4j-ийн олон арван хувилбаруудыг, түүний дотор 2.16-г нэг мөр (мөр) -ээр ажиллуулж, програмыг сүйрүүлэх мөнхийн давталт эхлүүлэх боломжтой болж байна. Хүчирхийлэлд өртөхийн тулд хүрээлэн буй орчны нөхцөлүүд өргөн хүрээтэй байдаг. Маш өргөн цар хүрээтэй тул асуудлын бодит ноцтой байдлын талаар маргаантай байна. Засварыг албан ёсоор санал болгож байгаа боловч хүн бүр итгэлтэй байдаггүй.
Дахин хэлэхэд, Log4j-ийн тохиолдол бүр эмзэг биш, зөвхөн номын сан нь тусгай тохиргоогоор ажиллаж байгаа тохиолдолд л эмзэг байдаг. Боломжит халдагчид Log4j хэрхэн ажилладаг талаар нарийвчилсан ойлголттой байх шаардлагатай. Анхдагч, хялбар хандах боломжтой эмзэг байдлаас ялгаатай.