Pitääkö Log4j-haitakkeesta olla huolestunut?

[Pendeli]

https://www.is.fi/digitoday/tietoturva/art-2000008473908.html

Väitetään ettei tarvi koska sille ei mitään mahda. Ei kovin lohduttavaa. Jos se nyt toistaiseksi rajoittuu vain palvelimiin niin kuka tietää milloin se hyppää käyttäjien työpöydälle.
Onko Linux-käyttäjät yhtä suuressa vaarassa kuin Windowsin käyttäjätkin?  Jos jonain päivänä kuitenkin ilmenee, että pankkitilit ovat tyhjentyneet, salasanat ja henkilötunnukset kaapattu jne. niin riittävästi harmia on tarjolla vaikka olisi kuinka varovaisesta taviksesta kyse.

Eli kysymys on siitä, että pitäisikö kuitenkin jotain tehdä esim. ottaa vähäksi aikaa joku vanha varakone käyttöön ja rajoittaa netinkäyttö muutenkin  minimiin ja vain pelkkiin turhuuksiin mistä ei ole (oletettavasti) mitään vaaraa.

En ole toistaiseksi yöuniani menettämässä  asian suhteen. Vielä ainakaan.

[qwertyy]

Sulla on varsin huono lähde haittaohjelmille. Katso tarkempaa tietoa vaikkapa täältä
https://www.kyberturvallisuuskeskus.fi/fi/haavoittuvuus_38/2021

Tai täältä
https://gist.github.com/SwitHak/b66db3a06c2955a9cb71a8718970c592

Eli lyhyesti. Tuo ei vaikuta mitenkään sinuun, mikäli et sitten satu käyttämään kyseisiä palveluita. Tuosta Githubin linkistä on aika helposti katsottavissa, mitkä ovat/ovat olleet haavoittuneita. Mielenkiintoisesti mm. Linuxin ja Windowsin F-Securea kyseinen ongelma on koskenut.
https://status.f-secure.com/incidents/sk8vmr0h34pd

Mutta siis pääasiassa ongelma on kriittinen heille, jotka pyörittävät palvelimia. Muut pärjäävät aika pitkälti pitämällä järjestelmän ja sovellukset päivitettyinä.

[qwertyy]

Sen verran tuo itsessä muistutti, että päivitin modeemin ja reitittimien firmikset uusimpiin versioihin. Asia mikä meinaa välillä unohtua ja en varmaan ole ainoa. Reitittimeen olikin tullut mukava "autoupdate" ominaisuus ja nyt se hoitaa tarkistuksen ja päivityksen tiettyyn haluttuun kellonaikaan. Eli nyt saa automaattisesti malwaret jos joku omii valmistajan palvelimet. Pitäisiköhän sittenkin ottaa pois päältä

[Jtkone]

Kyllä kai se modeemin päivitys varmaan kuitenkin tärkeämpi on kuin foliohattu päässä pelätä valmistajan palvelimien kaappausta
Itselläni (Fritzbox- kaapelimodeemi) on myös automaattinen päivitysten tarkastus, mutta en ole sitä sallinut päivittää automaattisesti. Eli jos uusi firmis on saatavilla tulee push notification puhelimeen. Näin  itse pystyn hiukan seurailemaan mitä päivitellään ja samalla saa tiedon uusista ominaisuuksista.
Mitä tulee tuohon Log4j haavoittuvuuteen niin ole ymmärtänyt ettei netin käyttäjällä juurikaan ole mahdollisuuksia tuohon vaikuttaa.

[JaniAlander]

Itse kun palvelinta pyörittää niin totesin että lista haavoittuvista sovelluksista oli niin iso etten jaksanut lukea, ajoin päivitykset sisään ja reboottasin ja sitten vietenkin hyvän tovin käynnistelemällä palveluita. Niin kuuno olen, että eipä osa palveluista itse tehdyllä systemd määritteellä ainakaan vielä itse osaa ajaa itseään ylös.