İki hafta önce bilgi teknolojileri dünyası Log4Shell adı verilen bir sıfırıncı gün zafiyetiyle alarma geçti. Bu zafiyet önümüzdeki haftalarda ve aylarda en büyük siber saldırılardan birine yol açabilir.
Zafiyet, açık kaynak kodlu Log4j’de bulundu. Log4j, kullanıldığı yazılımlarda hataları ve rutin sistem işlemlerini kaydedip sistem yöneticilerine ve kullanıcılara bildiren bir yazılım parçasıdır.
Bilgi teknolojileri dünyası bu zafiyeti ilk kez 9 Aralık 2021’de öğrendi. Zafiyetin yol açabileceği etki ve kolayca istismar edilebilmesi, Amerikan Ulusal Zafiyet Veritabanı tarafından kritik denilen en üst güvenlik derecesiyle sınıflandırılmasına neden oldu.
Bir teknoloji haber sitesi olan ZDNET’in bildirdiğine göre, zafiyetten haberdar olan siber korsanlar onu istismar etmek için hemen çok sayıda saldırı başlattı. Microsoft’un bildirdiğine göre, takip altındaki çok sayıda devlet destekli siber suç örgütü de bu zafiyeti istismar etmeye başladı. Türkiye’den siber suçluların da aralarında bulunduğu bu örgütler Çin, İran ve Kuzey Kore gibi ülkelerdendi.
Zafiyet ortaya çıkar çıkmaz Log4j’nin geliştiricisi Apache Software Foundation, Log4j’nin kodunda bir düzeltme yaptı ve 10 Aralık 2021’de yayımladı. Fakat bu düzeltmenin zafiyeti tamamen gidermediği sonradan anlaşıldı ve 13 Aralık 2021’de Log4j’nin yeni bir sürümü kullanıcılara sunuldu. Bu ikinci zafiyet de Amerikan Ulusal Zafiyet Veritabanı tarafından kritik olarak değerlendirildi. İki güncellemeye rağmen zafiyet henüz tam olarak giderilemediği için 17 Aralık 2021’de bir güncelleme daha yayımlandı. Bu son zafiyet ilk ikisi kadar ciddi olmasa da siber güvenlik dünyasında ciddi sayılan “high” (yüksek) dereceyle sınıflandırıldı.
Log4j bugün pek çok uygulamada, sunucuda ve internete açık cihazda kullanılıyor. Bu da zafiyetleri gidermenin epey zaman alacağını gösteriyor.
Purdue Üniversitesi’nde görev yapan Santiago Torres-Arias, zafiyetin giderilmesindeki zorluk konusunda iki temel soruna dikkat çekiyor.
Birincisi, Log4j’nin tek başına bir yazılım değil, bir yazılım parçası olması. Bu parçanın nerede çalıştığını bulmak için sistem yöneticilerinin yazılımlarını satır satır inceleyip Log4j kullanılıp kullanılmadığını tespit etmesi gerekiyor. Neyi koruyacağınızı bilmediğiniz bir ortamda siber saldırılara karşılık vermek oldukça zordur.
İkinci büyük sorun şu: Log4j’yi yazılımlarında kullanan şirketlerin onunla ilgili sorunları çözmesi epey zaman alıyor. Çünkü Log4j, doğası gereği yazılım tedarik zincirinin bir parçası. Yani bir yazılım geliştirilirken son ürün ortaya çıkana kadar birçok birimin onayından geçmek zorunda. Bu birimlerden birinde yazılımla ilgili bir sorun tespit edilirse, hatalı yazılım bir sonraki birime devredilmeden düzeltiliyor.
Fakat Log4j o kadar çok farklı yazılım ürününde kullanılıyor ki tek bir güncelleme bile Log4j geliştiricisinin, yazılım geliştiricisinin ve daha pek çok kişinin onayını gerektiriyor. Bu da zafiyetin giderilmesini geciktiriyor, hatta görmezden gelinmesine yol açıyor.
Ne kadar zaman alıcı ve zor görünse de Log4j ve benzeri yazılımlara karşı yapmamız gereken, siber güvenliğin en önemli koruma kalkanlarından biri olan yazılım güncellemelerini, uygun olduğu anda, en hızlı şekilde uygulamaktır.
