Vulnerabilidade Log4Shell afeta produtos Intel, NVIDIA e Microsoft

Este mês, pesquisadores de segurança descobriram uma vulnerabilidade Java perigosa (Log4Shell) que pode ser explorada para permitir que invasores assumam o controle do dispositivo da vítima. A problemática biblioteca Log4j é usada para registro e é distribuída junto com o Apache Logging Project, o que significa que milhões de dispositivos em todo o mundo são potencialmente vulneráveis. Agora se sabe quais produtos de software da Intel, NVIDIA e Microsoft são afetados pelo problema.

Fonte da imagem: Shutterstock

A Intel publicou uma lista de nove produtos que usam Java e são vulneráveis. Essas ferramentas são: Intel Audio Development Kit, Intel Datacenter Manager, Intel oneAPI exemplo de plugin de navegador para Eclipse, Intel System Debugger, Intel Secure Device Onboard, Intel Genomics Kernel Library, Intel System Studio, Intel Sensor Solution Firmware Development Kit e compatível com Intel ferramenta de anotação de visão por computador.

A exploração da vulnerabilidade da biblioteca Log4j permite que um hacker obtenha controle total sobre o dispositivo atacado, incluindo a execução de código arbitrário ignorando soluções de segurança. Uma das características distintivas da exploração é que o invasor não precisa interagir com a vítima para usá-la. Ele pode ser iniciado por meio de qualquer servidor com acesso a um navegador, o que torna a vulnerabilidade especialmente perigosa. De acordo com os dados disponíveis, a Intel está atualmente desenvolvendo patches apropriados que serão lançados em breve junto com as atualizações para os produtos mencionados.

A situação com o software NVIDIA é um pouco mais complicada. No caso de usar as versões mais atuais dos serviços de cada um dos aplicativos, atualmente não há vulnerabilidades conhecidas que possam ser exploradas por hackers. Se as atualizações mais recentes não forem instaladas em tempo hábil, a vulnerabilidade Log4Shell afetará os seguintes produtos: CUDA Toolkit Visual Profiler e Nsight Eclipse Edition, DGX Systems, NetQ e vGPU Software License Server.

A NVIDIA também distribui sistemas de computação empresarial DGX com pacotes Ubuntu-Linux, e os usuários podem instalar o bloco de funções Apache Log4j por conta própria. Portanto, a configuração pronta para uso não é vulnerável, mas se o usuário instalou o referido bloco por conta própria, a NVIDIA recomenda atualizar o serviço para a versão mais recente. Em termos de produtos Microsoft, a gigante do software já lançou atualizações para o Azure Spring Cloud e Azure DevOps, que usam a biblioteca Log4j em seu trabalho.

A AMD disse que suas soluções de software são protegidas de uma exploração que usa a vulnerabilidade. Essa conclusão foi feita com base em pesquisas da empresa. Ao mesmo tempo, os desenvolvedores observam que a vulnerabilidade é potencialmente muito perigosa, então os especialistas da AMD continuarão a analisar os produtos de software da empresa.