iCloud'dan Steam'e Kadar Binlerce Uygulamayı Etkileyen Açık Bulundu

Log4Shell açığı yüzünden milyonlarca kullanıcı hackerların ağına düşebilir. Açık kaynaklı Log4j günlük kaydı yardımcı programında kritik bir güvenlik açığı Apple, Amazon, Cloudflare, Steam dahil olmak üzere internetteki en büyük şirketleri etkiliyor.

Açık kaynaklı günlük kitaplığı Log4j'de bulunan Log4Shell adlı bir güvenlik açığı, milyonlarca cihazı saldırılara karşı savunmasız bırakıyor.

Log4Shell nedir diye merak edenler için Log4Shell, uygulamalar ve hizmetler çalışırken meydana gelen tüm olayların kaydını tutarak programlarının nasıl performans gösterdiğini analiz etmeleri ve hata durumunda neyin yanlış gittiğini anlamaları için onlara yol sunan bir kitaplıktır.

Log4j popüler ve yaygın olarak kullanılan bir günlük kitaplığıdır. Steam ve iCloud gibi popüler bulut hizmetlerinin yanı sıra Amazon, Twitter ve Minecraft gibi uygulamaların Log4Shell'i kullanan saldırılara karşı savunmasız olduğu bildirildi.

Log4Shell açığı nedir ve nasıl korunabiliriz?

Ars Technica'ya göre Minecraft'a ait olan web siteleri, bilgisayar korsanlarının oyunda kötü amaçlı kod yürütmesine izin veren bir güvenlik açığı hakkında rapor vermeye başladıktan sonra ilk kez ortaya çıktı.

Ancak kısa süre sonra sorunun yalnızca Minecraft'ı etkilemediği anlaşıldı. WannaCry kötü amaçlı yazılımının yayılmasını durdurmaya yardımcı olan güvenlik araştırmacısı Marcus Hutchins, milyonlarca uygulama günlük kaydı için Log4j kullandığından güvenlik açığını son derece kötü olarak nitelendirdi.

Kötü aktörler bu açığı sunucularda uzaktan kod yürütmek için kullanabilir, şirketlerin ve insanların verilerini tehlikeye atacak kötü amaçlı yazılımları indirmeye ve çalıştırmaya yönlendirebilir.

Daha da kötüsü, istismar edilmesi oldukça kolay ve sadece mesaj göndererek tetiklenebilir. Hutchins, Minecraft'la ilgili olarak saldırganların sohbet kutusuna bir mesaj göndererek uzaktan kod çalıştırabildiklerini söyledi.

Uygulama güvenliği şirketi LunaSec bir blog gönderisinde, Apple sunucularındaki güvenlik açığını tetiklemenin bir iPhone'un adını değiştirmek kadar kolay olduğunu belirtti.

Log4j ise güvenlik açığı için bir düzeltme yayınladı. Minecraft ve Cloudflare gibi etkilenen hizmetler de ayrıca  kullanıcıları korumak için erken sürüm yamalar paylaştı. Log4j ile kendi ağlarını çalıştıranlar da mümkünse en kısa zamanda sistemlerine yama yapmaya çalışacaktır.

Log4j için yapılan yamanın bu hizmetlerin savunmasız olmadığını söylemek için henüz çok erken. Şu an için kullanıcılar dikkatli olmalı ve etkilenen sağlayıcılardan rehberlik beklemeli.