[JustisCERT-varsel] [#080-2021] [TLP:CLEAR] Kritisk sårbarhet i Apache Log4j - Oppdatert informasjon fra NCSC

JustisCERT deler informasjon fra Nasjonalt Cybersikkerhetssenter (NCSC) vedrørende kritisk sårbarhet i Apache Log4j.

Varsel fra NCSC:

Sårbarheten (CVE-2021-44228 / CVSS 10.0) vurderes som særlig kritisk av flere årsaker. Den berører i prinsippet alt som er integrert mot og logges av Log4j, hvilket omfatter et foreløpig uavklart, men likevel stort antall utbredte tjenester. I tillegg er sårbarheten enkel å utnytte og vil gi angripere full kontroll over berørte systemer. Sårbarheten ble offentlig kjent 9. desember og utnyttelseskode for sårbarheten ble publisert samme dag.

Se [1], [2] og [3] samt samlesiden [4] for flere detaljer og FAQ.

NCSC anbefaler at alle systemeiere oppdaterer berørte systemer så raskt dette lar seg gjøre.

Referanser:
[1] https://nsm.no/aktuelt/oppdatering-omfattende-utnyttelsesforsok-av-kritisk-sarbarhet-i-apache-log4j 
[2] https://nsm.no/aktuelt/utvidet-oppdatering-for-apache-log4j-cve-2021-44228

[3] https://nsm.no/aktuelt/kritisk-sikkerhetshull-i-apache-log4j-hva-betyr-det

[4] https://nsm.no/fagomrader/digital-sikkerhet/nasjonalt-cybersikkerhetssenter/nyheter-fra-ncsc/samleside-for-log4j/