Durante el fin de semana, los equipos de seguridad de todo el mundo han ido a contrarreloj para mitigar una vulnerabilidad recién descubierta. El fallo se encuentra en el popular sistema de registro de Apache Log4j, y ha sido bautizado como «Log4Shell». Ya está siendo explotada.
Aquí explicamos cómo funcionan los ataques y qué deben hacer las organizaciones.
Tan malo como el que más
El fallo en sí mismo ha sido calificado con un 10 de 10 en el sistema de puntuación CVSS estándar de la industria. Eso es lo peor que puede pasar. ¿Por qué? Por varias razones:
- Log4j es utilizado por millones de aplicaciones Java, desde apps corporativas poco conocidas hasta software y organizaciones como iCloud, Cloudflare, Minecraft, Red Hat, Twitter, IBM, Steam, Tesla y Cisco
- Es relativamente fácil explotar el fallo subyacente de «validación de entrada inadecuada». Requiere que un atacante obligue a una aplicación vulnerable a registrar una cadena de caracteres determinada. Como las aplicaciones registran muchos tipos de eventos, hay varias formas de hacerlo. Podría ser tan simple como escribir un mensaje en un cuadro de chat
- La explotación puede llevar a la ejecución remota de código en un servidor afectado, permitiendo a los atacantes descargar malware y avanzar en los ataques
- Los atacantes buscan activamente sistemas vulnerables para explotarlos
Ya se han detectado atacantes que han explotado el fallo para instalar mineros de monedas, exponer claves de AWS, desplegar Cobalt Strike para el ransomware, etc. El Instituto Nacional de Ciberseguridad de España (INCIBE), el Centro Nacional de Seguridad Cibernética (NCSC) del Reino Unido y la Agencia de Seguridad Cibernética y de Infraestructuras (CISA) de Estados Unidos han publicado alertas.
Qué hacer ahora
Según CISA, las organizaciones deberían:
- Encontrar dónde se está ejecutando Log4j en su entorno
- Aplicar parches inmediatamente actualizando a la versión 2.15.0 de Log4j, o aplicar las mitigaciones del proveedor
- Enumerar todos los dispositivos de cara al exterior con Log4j instalado
- Asegurarse de que los equipos de operaciones de seguridad (SecOps) actúen sobre todas las alertas relacionadas con Log4j
- Instalar un firewall app web con reglas que se actualicen automáticamente, para reducir la carga de alertas en SecOps
Trend Micro está analizando todas sus plataformas para determinar las versiones vulnerables de Log4j que deben corregirse o mitigarse. Más información disponible aquí.
