मुख्य तथ्य
- हजारों ऑनलाइन सर्वर और सेवाएं अभी भी खतरनाक, और आसानी से शोषण योग्य loj4j भेद्यता के संपर्क में हैं, शोधकर्ताओं को खोजें।
- जबकि प्राथमिक खतरे स्वयं सर्वर हैं, उजागर सर्वर भी अंतिम उपयोगकर्ताओं को जोखिम में डाल सकते हैं, साइबर सुरक्षा विशेषज्ञों का सुझाव है।
- दुर्भाग्य से, डेस्कटॉप सुरक्षा के सर्वोत्तम अभ्यासों का पालन करने के अलावा, समस्या को ठीक करने के लिए अधिकांश उपयोगकर्ता बहुत कम कर सकते हैं।
खतरनाक log4J भेद्यता मरने से इनकार करती है, यहां तक कि महीनों बाद भी आसानी से शोषक बग के लिए एक फिक्स उपलब्ध कराया गया था।
Rezilion के साइबर सुरक्षा शोधकर्ताओं ने हाल ही में 90,000 से अधिक असुरक्षित इंटरनेट-सामना करने वाले अनुप्रयोगों की खोज की, जिसमें 68,000 से अधिक संभावित रूप से कमजोर Minecraft सर्वर शामिल हैं, जिनके व्यवस्थापक ने अभी तक सुरक्षा पैच लागू नहीं किए हैं, जिससे उन्हें और उनके उपयोगकर्ताओं को साइबर हमले का सामना करना पड़ रहा है। और इसके बारे में आप बहुत कम कर सकते हैं।
साइबर सुरक्षा सेवा प्रदाता साइफेरे के निदेशक हरमन सिंह ने ईमेल पर लाइफवायर को बताया, "दुर्भाग्य से, log4j हमें इंटरनेट उपयोगकर्ताओं को कुछ समय के लिए परेशान करेगा।" "चूंकि इस समस्या का सर्वर-साइड से शोषण किया जाता है, [लोग] सर्वर समझौता के प्रभाव से बचने के लिए बहुत कुछ नहीं कर सकते।"
द भूतिया
भेद्यता, जिसे लॉग 4 शेल कहा जाता है, को पहली बार दिसंबर 2021 में विस्तृत किया गया था। उस समय एक फोन ब्रीफिंग में, अमेरिकी साइबर सुरक्षा और बुनियादी ढांचा सुरक्षा एजेंसी (CISA) के निदेशक, जेन ईस्टरली ने भेद्यता को "सबसे अधिक में से एक" के रूप में वर्णित किया था। गंभीर जो मैंने अपने पूरे करियर में देखा है, अगर सबसे गंभीर नहीं है।"
साइबर सिक्योरिटी टेस्टिंग और ट्रेनिंग कंपनी सिमस्पेस में इंस्ट्रक्शनल लीड, लाइफवायर, पीट हे के साथ एक ईमेल एक्सचेंज में, ने कहा कि समस्या के दायरे का अंदाजा एप्पल, स्टीम जैसे लोकप्रिय विक्रेताओं से कमजोर सेवाओं और अनुप्रयोगों के संकलन से लगाया जा सकता है।, ट्विटर, अमेज़ॅन, लिंक्डइन, टेस्ला और दर्जनों अन्य। अप्रत्याशित रूप से, साइबर सुरक्षा समुदाय ने पूरी ताकत से जवाब दिया, अपाचे ने लगभग तुरंत एक पैच लगाया।
अपने निष्कर्षों को साझा करते हुए, Rezilion के शोधकर्ताओं ने आशा व्यक्त की कि बग के आसपास मीडिया कवरेज की भारी मात्रा को देखते हुए, अधिकांश, यदि सभी नहीं, तो कमजोर सर्वरों को पैच कर दिया गया होगा। "हम गलत थे," हैरान शोधकर्ताओं ने लिखा। "दुर्भाग्य से, चीजें आदर्श से बहुत दूर हैं, और लॉग4 शेल के लिए असुरक्षित कई अनुप्रयोग अभी भी जंगली में मौजूद हैं।"
शोधकर्ताओं ने शोडन इंटरनेट ऑफ थिंग्स (IoT) सर्च इंजन का उपयोग करते हुए कमजोर उदाहरणों का पता लगाया और उनका मानना है कि परिणाम केवल हिमशैल का सिरा हैं। वास्तविक संवेदनशील हमले की सतह बहुत बड़ी है।
क्या आप जोखिम में हैं?
बल्कि महत्वपूर्ण उजागर हमले की सतह के बावजूद, हे का मानना था कि औसत घरेलू उपयोगकर्ता के लिए कुछ अच्छी खबर है। "इनमें से अधिकांश [Log4J] भेद्यताएं एप्लिकेशन सर्वर पर मौजूद हैं और इसलिए आपके घरेलू कंप्यूटर को प्रभावित करने की बहुत संभावना नहीं है," Hay ने कहा।
हालाँकि, साइबर सुरक्षा विक्रेता व्हाइटसोर्स के साथ उत्पाद विपणन के वरिष्ठ निदेशक जैक मार्सल ने बताया कि लोग ऑनलाइन शॉपिंग से लेकर ऑनलाइन गेम खेलने तक, हर समय इंटरनेट पर एप्लिकेशन के साथ इंटरैक्ट करते हैं, जिससे उन्हें द्वितीयक हमलों का सामना करना पड़ता है। एक समझौता किया गया सर्वर संभावित रूप से उन सभी सूचनाओं को प्रकट कर सकता है जो सेवा प्रदाता अपने उपयोगकर्ता के बारे में रखता है।
"ऐसा कोई तरीका नहीं है जिससे कोई व्यक्ति यह सुनिश्चित कर सके कि जिस एप्लिकेशन सर्वर से वे इंटरैक्ट करते हैं, वे हमले के लिए असुरक्षित नहीं हैं," मार्सल ने चेतावनी दी। "दृश्यता बस मौजूद नहीं है।"
दुर्भाग्य से, चीजें आदर्श से बहुत दूर हैं, और लॉग4 शेल के लिए असुरक्षित कई अनुप्रयोग अभी भी जंगली में मौजूद हैं।
एक सकारात्मक नोट पर, सिंह ने बताया कि कुछ विक्रेताओं ने घरेलू उपयोगकर्ताओं के लिए भेद्यता को दूर करना काफी सरल बना दिया है। उदाहरण के लिए, आधिकारिक Minecraft नोटिस की ओर इशारा करते हुए, उन्होंने कहा कि जो लोग गेम के जावा संस्करण को खेलते हैं उन्हें गेम के सभी चल रहे इंस्टेंस को बंद करने और Minecraft लॉन्चर को पुनरारंभ करने की आवश्यकता होती है, जो पैच किए गए संस्करण को स्वचालित रूप से डाउनलोड करेगा।
प्रक्रिया थोड़ी अधिक जटिल और शामिल है यदि आप सुनिश्चित नहीं हैं कि आप अपने कंप्यूटर पर कौन से जावा एप्लिकेशन चला रहे हैं। Hay ने.jar,.ear, या.war एक्सटेंशन वाली फ़ाइलों की तलाश करने का सुझाव दिया। हालाँकि, उन्होंने कहा कि इन फ़ाइलों की उपस्थिति यह निर्धारित करने के लिए पर्याप्त नहीं है कि क्या वे log4j भेद्यता के संपर्क में हैं।
उन्होंने सुझाव दिया कि लोग कार्नेगी मेलॉन यूनिवर्सिटी (सीएमयू) सॉफ्टवेयर इंजीनियरिंग इंस्टीट्यूट (एसईआई) कंप्यूटर इमरजेंसी रेडीनेस टीम (सीईआरटी) द्वारा तैयार की गई स्क्रिप्ट का उपयोग अपने कंप्यूटरों को भेद्यता के लिए करने के लिए करें। हालाँकि, स्क्रिप्ट ग्राफिकल नहीं हैं, और उनका उपयोग करने के लिए कमांड लाइन पर उतरना आवश्यक है।
मार्सल का मानना था कि आज की कनेक्टेड दुनिया में, सुरक्षित रहने के लिए अपना सर्वश्रेष्ठ प्रयास करना सभी पर निर्भर है। सिंह ने सहमति व्यक्त की और लोगों को बुनियादी डेस्कटॉप सुरक्षा प्रथाओं का पालन करने की सलाह दी ताकि वे भेद्यता का फायदा उठाकर किसी भी दुर्भावनापूर्ण गतिविधि के शीर्ष पर बने रहें।
"[लोग] यह सुनिश्चित कर सकते हैं कि उनके सिस्टम और डिवाइस अपडेट हैं और एंडपॉइंट सुरक्षा मौजूद है," सिंह ने सुझाव दिया। "इससे उन्हें किसी भी धोखाधड़ी के अलर्ट और जंगली शोषण से होने वाले किसी भी नुकसान के खिलाफ रोकथाम में मदद मिलेगी।"
