BSI declara alerta roja: la vulnerabilidad de Log4Shell permite una ola de ataques

Para los gerentes de TI y seguridad de TI en empresas de todo el mundo, no fue un tercer advenimiento contemplativo: la vulnerabilidad de seguridad Log4Shell actualmente mantiene al mundo de TI en suspenso.

Los atacantes pueden ejecutar código arbitrario en los sistemas de sus víctimas si se utiliza una versión vulnerable de Log4J2 en el servidor. Otro problema: la vulnerabilidad se puede ejecutar con un comando simple y se puede explotar con poca experiencia. El BSI también advierte de las consecuencias de la brecha.

Afectada es la biblioteca Java Log4J2, que se utiliza para escribir registros en aplicaciones Java. La biblioteca se considera un cuasi-estándar y, por lo tanto, se utiliza millones de veces. Es suficiente si puede iniciar una operación de registro con una cadena definida por el usuario en una aplicación Java.

Si se puede realizar la llamada de registro, solo se debe hacer referencia a un pequeño archivo de explotación en un recurso web remoto para llevar a cabo el ataque. El código no se comprueba por su origen, por lo que también se aceptan recursos fuera de su propio servidor.

Si utiliza aplicaciones Java con Log4J2, debe instalar inmediatamente los parches disponibles. Incluso si hasta ahora no se ha detectado ningún ataque a su propia red, es recomendable que un proveedor de servicios de TI calificado lleve a cabo una evaluación de compromiso. Debido a la facilidad de explotación, es de esperar que los delincuentes comprometan cientos de miles de sistemas en stock y comiencen a monetizar estas infecciones en unas pocas semanas, por ejemplo, instalando ransomware.

La Oficina Federal de Seguridad (BSI) advierte de la brecha de seguridad y ha declarado una alerta «roja». La situación es «extremadamente crítica». La publicación del blog de la autoridad de ciberseguridad afirma: «Según el BSI, el alcance total de la situación de amenaza actualmente no se puede determinar de manera concluyente. Aunque hay una actualización de seguridad para la biblioteca Java afectada Log4j, todos los productos que utilizan Log4j también deben adaptarse».

Por lo tanto, las próximas semanas también estarán ocupadas en TI.

Enlace:BSI declara alerta roja: la vulnerabilidad de Log4Shell | G DATOS (gdata.de) Blog de G DATA Hauke Gierow