Kl. 23.40, på vagt, og en fejl vurderet til ti ud af ti.
Hvordan én tekstlinje i en logfil satte servere overalt i fare, og hvorfor tjenesten bag jeres produkt tæller som en del af det.
Fakta
Hvad skete der
En fejl i Log4j 2, et udbredt logbibliotek til Java, blev offentliggjort som CVE-2021-44228 med den maksimale CVSS-score på 10. Angribere kunne køre kode på en server blot ved at få en særlig tekststreng skrevet i dens log.
Hvad det førte til
Organisationer over hele verden brugte uger på at finde hvert system, der brugte Log4j 2, og rette det, mens angribere scannede internettet efter servere, der endnu ikke var rettet.
Hvad CRA nu kræver
Fjerndatabehandling, der er en del af produktets funktion, er omfattet af CRA. En aktivt udnyttet sårbarhed udløser artikel 14: tidlig varsling inden for 24 timer, anmeldelse inden for 72 timer, endelig rapport senest 14 dage efter en rettelse, og brugerne skal informeres.
Kilde: Apache Logging Services, security advisories, CVE-2021-44228
Historien
Kasper havde vagten den nat, det startede, hvilket betød, at hans telefon lå på køkkenbordet ved siden af den julekalender, hans datter havde fået ham til at love ikke at åbne for tidligt. Den summede kl. 23.40. Så igen. Så holdt den ikke op. Der var fundet en svaghed i et lille stykke gratis software, der fører en slags dagbog over alt, hvad en computer gør, og det blev brugt næsten overalt. Fejlen fik den højeste farescore, der findes: ti ud af ti.
Måden, det virkede på, var næsten fornærmende. En kriminel behøvede ikke bryde ind. De skulle bare få én særligt skrevet sætning ind i dagbogen, skrevet som et brugernavn eller en søgning, og computeren ville adlyde. Kasper vidste, at dagbogssoftwaren var et sted i virksomhedens systemer. Han vidste bare ikke hvor, eller hvor mange gange, og for hvert minut han brugte på at lede, gennemsøgte kriminelle internettet efter de computere, han endnu ikke havde nået. Omkring klokken to om natten dukkede en tanke op, som ikke ville gå væk: systemet, han prøvede at redde, var det, der tændte og slukkede varmen i tusindvis af hjem. I december.
Efter Cyber Resilience Act tæller onlinetjenesten bag et apparat som en del af produktet. Dens byggesten skal holdes opdateret hele tiden, ikke to gange om året. En aktivt udnyttet svaghed skal indberettes til myndighederne inden for 24 timer, og kunderne skal have besked om, hvad de skal gøre. Kasper får stadig opkaldet. Han kan bare gå i seng igen.
Personerne og scenerne er illustrative. Hændelsen og fakta er virkelige.
Systemet, der ville have fanget det
4. Rapportér inden for 24 timer
En sikkerhedsmailadresse, en person på vagt og en færdig rapport, så I kan advare myndighederne inden for 24 timer, når en fejl bliver aktivt udnyttet.
Sådan virker systemetKunne I gøre det i dag?
Hvis en testalarm går i gang næste fredag kl. 17, er rapporten så klar i tide?
Hvis den gælder, hvor klar er vi?
Seks ja-eller-nej-spørgsmål, to minutter. Jeres nej'er kommer tilbage i den rækkefølge, de skal løses.
Usikker på, om CRA gælder for jeres produkt? Tjek det først