تل أبيب - 12 كانون الثاني (يناير) 2022 - كشفت Oxeye ، المبتكرة التقنية في حلول اختبار أمان التطبيقات السحابية الأصلية ، اليوم عن أول مبادرة مفتوحة المصدر لعام 2022 مع طرح Ox4Shell. تعد أداة تبسيط الحمولة الصافية القوية والمجانية هي الأولى في سلسلة من الحلول التي طورتها Oxeye لمساعدة المطورين ومحترفي AppSec ومجتمع المصادر المفتوحة. تم تصميم Ox4Shell لمواجهة ما يسميه البعض "Covid of the Internet" ، والمعروف باسم ضعف يوم الصفر Log4Shell. لمواجهة تكتيك التعتيم الفعال للغاية الذي تستخدمه الجهات الخبيثة ، تكشف أداة Oxeye الجديدة مفتوحة المصدر (المتوفرة على GitHub) الحمولات المخفية التي يتم استخدامها بنشاط لإرباك أدوات الحماية الأمنية وفرق الأمن.
وفقًا لما أفاد به الخبراء ، لا تزال المؤسسات على مستوى العالم تتعرض لهجمات التعليمات البرمجية عن بُعد وكشف البيانات الحساسة بسبب ثغرة أمنية في Log4Shell. اكتشف هذا التهديد في Apache's Log4J ، وهو نظام تسجيل يستخدم على نطاق واسع من قبل مطوري تطبيقات الويب والخادم ، مما يجعل من الممكن إدخال نص في رسائل السجل أو معلمات رسائل السجل ، ثم في سجلات الخادم التي يمكنها بعد ذلك تحميل التعليمات البرمجية من خادم بعيد للاستخدام الضار . أعطى Apache Log4Shell تصنيف خطورة CVSS يبلغ 10 من 10 ، وهي أعلى درجة ممكنة. منذ ذلك الحين ، وجد الباحثون ثغرة أمنية مماثلة في قاعدة بيانات H2 الشهيرة. الاستغلال سهل التنفيذ ويقدر أنه يؤثر على مئات الملايين من الأجهزة.
وفقًا لجوناثان كير ، كبير المحللين في شركة Gartner ، فإن "ثغرة Log4j شديدة الانتشار ويمكن أن تؤثر على تطبيقات المؤسسة والأنظمة المضمنة ومكوناتها الفرعية. التطبيقات المستندة إلى Java بما في ذلك Cisco Webex و Minecraft و FileZilla FTP كلها أمثلة على البرامج المتأثرة ، ولكن هذه ليست بأي حال من الأحوال قائمة شاملة. تؤثر الثغرة الأمنية حتى على مهمة مروحية مارس 2020 ، Ingenuity ، التي تستخدم Apache Log4j لتسجيل الأحداث ".
كجزء من مبادرة جديدة مفتوحة المصدر لعام 2022 ، تكشف Oxeye النقاب عن أول مساهمة في سلسلة من المساهمات المصممة لتعزيز الجهود الأمنية من خلال تفكيك الحمولات المصحوبة غالبًا بمآثر Log4J. تكشف Ox4Shell الحمولات المحجوبة وتحولها إلى أشكال أكثر جدوى لتوفير فهم واضح لما تحاول الجهات الفاعلة في التهديد تحقيقه. يتيح ذلك للأطراف المعنية اتخاذ إجراءات فورية وحل مشكلة الضعف.
تحتوي مكتبة Log4j على عدد قليل من وظائف البحث الفريدة التي تسمح للمستخدمين بالبحث عن متغيرات البيئة ، ومعلومات وقت تشغيل معالجة Java ، وما إلى ذلك. هذه تمكن الجهات الفاعلة في التهديد من التحقيق في معلومات محددة يمكنها تحديد الجهاز المخترق الذي استهدفوه بشكل فريد. يمكنك Ox4Shell من الامتثال لوظائف البحث هذه عن طريق تزويدهم ببيانات وهمية تتحكم فيها.
"الصعوبات في تطبيق التصحيح المطلوب على ثغرة Log4Shell تعني أن هذا الاستغلال سيترك فجوات للهجمات الضارة الآن وفي المستقبل. قال دانيال أبيلز ، رئيس الأبحاث في Oxeye ، إن القدرة على تطبيق تقنيات التشويش على الحمولات ، وبالتالي التحايل على منطق القواعد لتجاوز الإجراءات الأمنية يجعل هذا أيضًا تحديًا كبيرًا ما لم يتم تطبيق العلاج المناسب. سيكون إلغاء التبسيط أمرًا بالغ الأهمية لفهم النية (النوايا) الحقيقية للمهاجمين. توفر Ox4Shell حلاً قويًا لمعالجة هذا الأمر ، وبصفتنا داعمًا لمجتمع المصدر المفتوح ، فإننا فخورون بالمساهمة وإتاحتها من خلال GitHub. "
التوفر
يتوفر Ox4Shell بشكل عام على GitHub مجانًا. تدعو Oxeye المطورين والمتخصصين في مجال الأمان المهتمين بمعرفة المزيد لزيارتها https://www.oxeye.io/ox4shell-deobfuscate-log4shell أو لتنزيل البرنامج من https://github.com/ox-eye/Ox4Shell. لجدولة عرض توضيحي شخصي لمنصة Oxeye Cloud Native Application Security Testing (CNAST) الأساسية ، يرجى زيارة https://www.oxeye.io/get-a-demo.
الموارد:
- تابع Oxeye على Twitter علىOxeyeSecurity
- انضم إلى Oxeye على LinkedIn على https://www.linkedin.com/company/oxeyeio/
- قم بزيارة Oxeye عبر الإنترنت على http://www.oxeye.io
حول Oxeye
توفر Oxeye حلاً لاختبار أمان التطبيقات السحابية الأصلي المصمم خصيصًا للبنى الحديثة. تمكّن الشركة العملاء من تحديد وحل نقاط الضعف في التعليمات البرمجية الأكثر أهمية كجزء لا يتجزأ من دورة حياة تطوير البرامج ، وتعطيل مناهج اختبار أمان التطبيقات التقليدية (AST) من خلال تقديم حل سياقي وسهل وشامل يضمن عدم وصول كود ضعيف إلى الإنتاج. . صُممت لفريقي Dev و AppSec تساعد Oxeye في تغيير الأمان إلى اليسار مع تسريع دورات التطوير وتقليل الاحتكاك والقضاء على المخاطر.
