¿Cómo afecta a tu negocio la nueva vulnerabilidad de Java Log4j?

El pasado 9 de diciembre se hizo pública una vulnerabilidad de Día Cero en la popular biblioteca de software de código abierto Java Log4j, la cual es utilizada para funcionalidades tales como crear registro, crear y almacenar información de registro de software, aplicaciones, dispositivos de hardware, etc.

¿Qué es una vulnerabilidad de Día Cero?

Se trata de un fallo en el software de seguridad que todavía no ha sido detectado ni corregido. En este caso, si un ciberdelincuente localiza el fallo antes de que haya podido ser parcheado y, de ese modo, explota la vulnerabilidad, este se convierte en lo que se pasa a denominar como vulnerabilidad de Día Cero.

A pesar de que ya existe un parche para este fallo concreto, el riesgo sigue existiendo, ya que se pueden producir más ataques a partir de cualquier acceso que no esté parcheado. A la hora de parchear y realizar actualizaciones de los sistemas, es recomendable que estas acciones sean llevadas a cabo por el personal técnico o proveedor de TI de la empresa. 

¿Cuál es el riesgo?

Este tipo de vulnerabilidad es especialmente peligrosa porque su explotación puede realizarse de forma remota, es decir, no requiere autenticación y permite el acceso completo al servidor/dispositivo atacado. Además, el ataque puede realizarse usando una única línea de código, de hecho, ya se han publicado ataques de prueba de concepto.

Además, este ataque se ha producido a una biblioteca de registros ampliamente utilizada, la cual se encuentra en una amplia gama de dispositivos y software de empresas como Apache Struts y Tomcat, Solr, distribuciones de Linux, Blackberry Symantec o Apple, por ejemplo.

¿Quiénes son los más afectados?

Desafortunadamente, no existe un patrón que permita adelantarse a si una organización puede verse más afectada que otra y, por tanto, es difícil conocer la vulnerabilidad de cada compañía. Incluso, puede darse el caso de que un cliente no tenga la vulnerabilidad en su propia versión del software, pero esta puede estar presente en los dispositivos que utiliza (como los dispositivos VPN o los proveedores de la nube, entre otros).

Como la biblioteca afectada pertenece a Apache, es más probable que esta amenaza se ejecute en servidores Linux. Sin embargo, al tratarse de una vulnerabilidad  de Java también puede darse en otras plataformas, así que los servidores Windows y Apple también podrían ser vulnerables.

¿Qué debo hacer para proteger a mi compañía?

• Confirma que tu equipo de TI y seguridad, sean internos o externos, están al tanto de la reciente vulnerabilidad log4j, también conocida como CVE-2021-44228 o log4shell.
• Evalúa la exposición que tienen a la misma las aplicaciones desarrolladas internamente.
• Habla con tus proveedores de hardware, software y de servicios en la nube para evaluar si están afectados.
• Ten desarrollado un plan para desplegar actualizaciones tras valorar todo lo anterior.
• Asegúrate de que se está realizando la supervisión pertinente y que los empleados responsables están en alerta máxima ante un potencial ataque, especialmente si se ha sido o se es vulnerable. 

Desde  Hiscox ofrecemos esta información para concienciar sobre este tema ya que se ha identificado esta vulnerabilidad como crítica. Contacta con tu departamento de IT para determinar la mejor forma de actuar.

Soluciones y enlaces de interés para ampliar información

Puedes consultar el aviso de seguridad que Apache ha publicado sobre cómo abordar esta vulnerabilidad. Además, la organización también ha puesto a disposición de los usuarios el parche para solucionarla (2.17.0).

Para entender más sobre esta amenaza, puedes consultar la página del INCIBE, que ofrece detalles adicionales sobre la problemática, o esta lista de más de 180 proveedores que aportan consejos al respecto. Estos enlaces son externos a Hiscox y no han sido analizados por nuestra compañía.