الشركة المصنعة لهواتف آيفون عرضة لاستغلال Log4Shell
يدعي باحثو الأمن الذين يحققون في استغلال Log4Shell أنهم استخدموه على أجهزة تتراوح من أجهزة iPhone إلى سيارات Tesla.
وفقًا للقطات التي تمت مشاركتها عبر الإنترنت، فإن تغيير اسم iPhone أو Tesla إلى سلسلة استغلال خاصة كافية لتشغيل استعلام إلى خادم Apple أو Tesla، مما يشير إلى أن الخادم على الطرف الآخر معرض للثغرة الأمنية Log4Shell.
في العرض التوضيحي، قام الباحثون بتحويل اسم الجهاز إلى سلسلة من الأحرف التي من شأنها إرسال الخادم إلى عنوان URL للاختبار، وبالتالي استغلال السلوك الذي تمكّنه الثغرة الأمنية.
بعد تغيير الاسم، تعرض حركة المرور الواردة طلبات URL التي تنشأ من عناوين IP الخاصة بـ Apple. باختصار، خدع الباحثون خوادم Apple و Tesla لزيارة عناوين URL من اختيارهم.
تأتي اختبارات iPhone من باحث أمني هولندي. بافتراض أن لقطات الشاشة أصلية، فإن السلوك الذي تعرضه - تحميل الموارد عن بُعد - مع النص الموجود في اسم الجهاز لا ينبغي أن يكون ممكنًا.
أدى إثبات المفهوم هذا إلى تقارير واسعة النطاق تفيد بأن شركتي Apple و Tesla كانتا معرضتين للخطر. على الرغم من أن العرض التقديمي مروع. لكن من غير الواضح مدى فائدة ذلك لمجرمي الإنترنت.
يمكن للمهاجم نظريًا إصابة خادم ضعيف من خلال استضافة تعليمات برمجية ضارة عبر عنوان URL. لكن الشبكة الآمنة تمنع مثل هذه الهجمات على مستوى الشبكة.
لم يكن هناك مؤشر أوسع على أن الطريقة يمكن أن تؤدي إلى أي تعطيل أوسع لأنظمة Apple أو Tesla.
ومع ذلك، فإن هذا يذكرنا بتعقيد الأنظمة التقنية التي اعتمدت دائمًا على التعليمات البرمجية من مكتبات الطرف الثالث.
ثغرة جديدة من خلال إعادة تسمية آيفون
تؤثر ثغرة Log4Shell على أداة Java مفتوحة المصدر تسمى log4j، والتي تُستخدم على نطاق واسع لتسجيل أحداث التطبيق.
من غير المعروف عدد الأجهزة التي تأثرت. لكن يقدر الباحثون أنه بالملايين، بما في ذلك الأنظمة المجهولة التي نادرًا ما تستهدفها مثل هذه الهجمات.
لا يزال النطاق الكامل للاستغلال غير معروف. ومع ذلك، أفادت منصة الأدلة الجنائية الرقمية Cado عن العثور على خوادم تحاول تثبيت رمز لشبكة Mirai botnet باستخدام هذه الطريقة.
يعتبر Log4Shell أكثر خطورة لأنه من السهل نسبيًا استغلاله. تعمل الثغرة الأمنية عن طريق خداع أحد التطبيقات لتفسير جزء من النص كارتباط لمورد بعيد ومحاولة استرداد هذا المورد بدلاً من حفظ النص كما هو. كل ما يحتاجه الجهاز المخترق هو حفظ السلسلة الخاصة في سجل التطبيق الخاص به.
يؤدي هذا إلى إحداث فجوة أمنية محتملة في العديد من الأنظمة التي تقبل إدخال المستخدم، حيث يمكن تخزين نص الرسالة في السجل.
تم اكتشاف الثغرة الأمنية log4j لأول مرة في خادم Minecraft، والتي يمكن اختراقها بواسطة مهاجم باستخدام رسائل الدردشة.
تم إصدار تحديث لمكتبة log4j لتقليل هذه الثغرة الأمنية. ولكن بسبب تحديات تحديث برامج المؤسسة على نطاق واسع، فإن تصحيح جميع الأجهزة المعرضة للخطر سيستغرق وقتًا.