Apache Log4j Security Vulnerabilities

Akhir-akhir ini, ditemukan sebuah kerentanan di Log4J, sebuah open-source logging library yang biasa digunakan oleh aplikasi-aplikasi dan layanan yang ada di internet. Jika tetap dibiarkan, penyerang dapat masuk ke sistem, mencuri kata sandi dan login, mengekstrak data, dan menginfeksi jaringan dengan perangkat lunak berbahaya.

APA itu Log4J?                                                                                                                                                                                                                                                                                           Log4J adalah sebuah software yang bersifat open-source, yang dibuat oleh Apache Software Foundation. Software ini dapat dijalankan di seluruh platform macOS, Windows, dan Linux. Software open-source ini memungkinkan penggunanya untuk membuat sebuah “log” bawaan atau merekam aktivitas software mereka agar pengguna dapat mencari sumber masalah dalam programnya atau bahkan melacak data yang ada dalam program mereka.                                

Log4J sudah diunduh jutaan kali dan merupakan salah satu software yang paling banyak digunakan untuk mengumpulkan informasi di seluruh jaringan komputer perusahaan, situs web, dan aplikasi.

KAPAN hal ini ditemukan?                                                                                                                                                                                                                                                                       Pada hari Kamis 9 Desember 2021, Apache merilis rincian tentang adanya kerentanan di Log4J, sebuah logging library yang digunakan dalam jutaan aplikasi berbasis Java.

MENGAPA hal ini merupakan sebuah ancaman??                                                                                                                                                                                                        Kelemahan pada Log4J memungkinkan penyerang atau peretas untuk menjalankan kode dari jarak jauh pada komputer yang menjadi target mereka dan membiarkan mereka mencuri data, menginstal malware, atau mengambil kendali komputer. Eksploitasi lain yang ditemukan baru-baru ini termasuk di dalamnya sebuah sistem peretasan untuk menambang cryptocurrency. Peneliti cyber telah menemukan bahwa peretas lain telah membangun malware untuk membajak komputer untuk melakukan serangan dengan skala besar pada infrastruktur internet.

SIAPA saja yang terpengaruh?                                                                                                                                                                                                                                                       Hampir semua software akan memiliki semacam kemampuan untuk membuat “log” (untuk tujuan pengembangan, operasional dan keamanan), dan Log4J adalah software yang sangat umum digunakan saat ini.  

 Masalah ini secara khusus mempengaruhi versi Log4J apa pun sebelum v2.15.0; namun, sebuah patch dalam v2.15.0 memperkenalkan kerentanan baru, CVE 2021-45046, dimana kerentanan ini akan mengekspos vektor dalam software yang memungkinkan peretas melakukan serangan DoS. v2.17.0 adalah versi terbaru yang harus Anda download untuk menghindari hal ini.

BAGAIMANA respon RDS?                                                                                                                                                                                                                                                        Perlindungan data pelanggan merupakan prioritas utama bagi kami. Oleh karena itu, RDS telah mengambil tindakan dan berkoordinasi dengan pihak-pihak terkait, seperti prinsipal dan mitra bisnis, untuk memastikan dampak dari masalah ini 24/7 sejak kejadian ini ditemukan.

Hasil dari investigasi kami selanjutnya mengevaluasi dan mengidentifikasi bahwa sebagian besar solusi kami aman, karena library dari Java Apache Log4J2 tidak diterapkan dalam produk kami. Untuk beberapa solusi kami yang telah terpengaruh, kami telah melakukan tindakan mengenai hal ini dengan cara melakukan upgrade versi Log4J ke versi 2.17.0 dan atasnya.