Log4Shell-patch indeholder selv sårbarheder: Og hackere udnytter det
Patch'en 'Log4J 2.15.0' skulle lukke sikkerhedshullet 'Log4Shell', men der er mindst to sårbarheder i den nye patch, og i hvert fald den ene af dem bliver i øjeblikket udnyttet til cyberangreb. Derfor anbefales det at installere den nye version '2.16.0' så hurtigt som muligt.
Det skriver Ars Technica.
Læs også: It-folk i panik verden over: Her er, hvad vi ved om Log4Shell
Såbarhederne, der begge går under CVE-nummeret CVE-2021-45046, gør det blandt andet muligt at udføre såkaldte denial-of-service-angreb, der kan lægge inficerede enheder ned.
Men hvad værre er, at en information disclosure-fejl også gør det muligt at downloade data fra inficerede enheder.
»I vores forskning har vi vist, at 2.15.0 under visse omstændigheder stadig tillader eksfiltrering af følsomme data. Vi har videregivet tekniske detaljer om problemet til Apache Foundation, men i mellemtiden anbefaler vi kraftigt, at kunderne opgraderer til 2.16.0 så hurtigt som muligt,« skriver Nathan Sportsman, der er ansat ved it-sikkerhedsfirmaet Praetorian, i et blog-opslag.
Virksomheden har ligeledes lagt en proof-of-concept-video ud, der viser sårbarheden.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
