TEL AVIV – 12 januari 2022 – Oxeye, een technologie-innovator in cloud-native applicatiebeveiligingstestoplossingen, heeft vandaag het eerste open-sourceinitiatief voor 2022 onthuld met de introductie van Ox4Shell. De krachtige en gratis open-source tool voor het deobfusceren van payloads is de eerste in een reeks oplossingen die door Oxeye zijn ontwikkeld om ontwikkelaars, AppSec-professionals en de open-sourcegemeenschap te helpen. Ox4Shell is ontworpen om het hoofd te bieden aan wat sommigen de 'Covid of the Internet' noemen, ook wel bekend als de Log4Shell zero-day-kwetsbaarheid. Om een zeer effectieve verduisteringstactiek tegen te gaan die wordt gebruikt door kwaadwillende actoren, onthult Oxeye's nieuwe open-sourcetool (beschikbaar op GitHub) verborgen payloads die actief worden gebruikt om beveiligingshulpmiddelen en beveiligingsteams in verwarring te brengen.
Experts melden dat organisaties wereldwijd nog steeds te maken krijgen met externe code-aanvallen en de blootstelling van gevoelige gegevens als gevolg van de wijdverbreide Log4Shell-kwetsbaarheid. Ontdekt in Apache's Log4J, een logsysteem dat wijdverbreid wordt gebruikt door ontwikkelaars van web- en serverapplicaties, maakt de dreiging het mogelijk om tekst in logberichten of logberichtparameters te injecteren, en vervolgens in serverlogbestanden die vervolgens code van een externe server kunnen laden voor kwaadwillig gebruik . Apache heeft Log4Shell een CVSS-ernstscore van 10 op 10 gegeven, de hoogst mogelijke score. Sindsdien hebben onderzoekers een vergelijkbare kwetsbaarheid gevonden in de populaire H2-database. De exploit is eenvoudig uit te voeren en treft naar schatting honderden miljoenen apparaten.
Volgens Jonathan Care, Senior Director Analyst bij Gartner: “De Log4j-kwetsbaarheid is extreem wijdverbreid en kan gevolgen hebben voor bedrijfsapplicaties, embedded systemen en hun subcomponenten. Op Java gebaseerde toepassingen, waaronder Cisco Webex, Minecraft en FileZilla FTP, zijn allemaal voorbeelden van getroffen programma's, maar dit is geenszins een volledige lijst. De kwetsbaarheid treft zelfs de helikoptermissie van Mars 2020, Ingenuity, die gebruik maakt van Apache Log4j voor het loggen van gebeurtenissen.”
Als onderdeel van een nieuw open source-initiatief voor 2022 onthult Oxeye de eerste in een reeks bijdragen die zijn ontworpen om de beveiligingsinspanningen te versterken door de verduistering van payloads die vaak gepaard gaan met Log4J-exploits. Ox4Shell legt verborgen payloads bloot en transformeert ze in meer betekenisvolle vormen om een duidelijk beeld te krijgen van wat dreigingsactoren proberen te bereiken. Hierdoor kunnen betrokken partijen direct actie ondernemen en de kwetsbaarheid oplossen.
De Log4j-bibliotheek heeft een paar unieke opzoekfuncties waarmee gebruikers omgevingsvariabelen, Java-procesruntime-informatie, enzovoort kunnen opzoeken. Deze stellen bedreigingsactoren in staat om te zoeken naar specifieke informatie die een unieke identificatie kan geven van een gecompromitteerde machine waarop ze het doelwit waren. Ox4Shell stelt u in staat om aan dergelijke opzoekfuncties te voldoen door ze nepgegevens te geven die u beheert.
“Moeilijkheden bij het toepassen van de vereiste patching op de Log4Shell-kwetsbaarheid betekent dat deze exploit nu en in de toekomst gaten zal achterlaten voor kwaadaardige aanvallen. De mogelijkheid om verduisteringstechnieken toe te passen op payloads, waardoor de logica van regels wordt omzeild om beveiligingsmaatregelen te omzeilen, maakt dit ook tot een aanzienlijke uitdaging, tenzij de juiste remedie wordt toegepast”, zegt Daniel Abeles, Head of Research bij Oxeye. Deobfuscatie is van cruciaal belang om de ware bedoeling(en) van aanvallers te begrijpen. Ox4Shell biedt een krachtige oplossing om dit aan te pakken en als supporter van de open-source community zijn we trots om bij te dragen en beschikbaar te stellen via GitHub.”
Beschikbaarheid
Ox4Shell is over het algemeen gratis beschikbaar op GitHub. Oxeye nodigt ontwikkelaars en beveiligingsprofessionals uit die meer willen weten om te bezoeken https://www.oxeye.io/ox4shell-deobfuscate-log4shell of om de software te downloaden op https://github.com/ox-eye/Ox4Shell. Om een gepersonaliseerde demo van het volledige Oxeye Cloud Native Application Security Testing (CNAST)-platform te plannen, gaat u naar: https://www.oxeye.io/get-a-demo.
Bronnen:
– Volg Oxeye op Twitter op @OxeyeSecurity
– Word lid van Oxeye op LinkedIn op https://www.linkedin.com/company/oxeyeio/
– Bezoek Oxeye online op http://www.oxeye.io
Over Oxeye
Oxeye biedt een cloud-native oplossing voor het testen van applicatiebeveiliging die speciaal is ontworpen voor moderne architecturen. Het bedrijf stelt klanten in staat om de meest kritieke codekwetsbaarheden te identificeren en op te lossen als een integraal onderdeel van de levenscyclus van softwareontwikkeling, waardoor traditionele AST-benaderingen (Application Security Testing) worden verstoord door een contextuele, moeiteloze en uitgebreide oplossing te bieden die ervoor zorgt dat geen enkele kwetsbare code ooit de productie bereikt . Gebouwd voor Dev- en AppSec-teams Oxeye helpt de beveiliging naar links te verplaatsen, terwijl ontwikkelingscycli worden versneld, wrijving wordt verminderd en risico's worden geëlimineerd.
