hacker
Qué es Log4j, la vulnerabilidad que hace saltar las alarmas y afecta a millones de dispositivos
Una brecha de seguridad amenaza a millones de dispositivo e importantes servicios como Minecraft, Steam y Apple iCloud. El fallo tardará en solucionarse del todo.
14 diciembre, 2021 10:39Noticias relacionadas
Las brechas de seguridad y los ataques informáticos están a la orden del día, el hecho de que se esté convirtiendo en costumbre puede provocar que se minimice la importancia de nuevas vulnerabilidades. Sin embargo, casos recientes como el de Log4Shell vuelven a poner de manifiesto el impacto que una vulnerabilidad puede tener en millones de dispositivos, tanto en España como en el resto del mundo.
Este fallo de seguridad ha dejado la puerta abierta para que los hackers ataquen los servidores de Minecraft, simplemente con un mensaje en el chat de una partida. Las agencias de ciberseguridad alertan que esta brecha puede desencadenar ataques de ransomware, otros relacionados con las criptomonedas y muchos más.
Aunque la vulnerabilidad ya cuenta con un parche para solucionar el problema, se espera que el fallo tarde en solucionarse bastante tiempo, dado el gran número de sistemas y dispositivos que se han visto afectados. Mientras, los usuarios solo pueden estar pendientes de futuras actualizaciones que les brinden la protección necesaria.
El fallo de Long4Shell
La vulnerabilidad se conoce como Log4Shell (CVE-2021-44228) y afecta a Apache Log4j, una biblioteca de código abierto desarrollada por Apache Foundation cuyo objetivo es mantener un registro de las actividades realizadas durante la ejecución en las aplicaciones que pertenecen al lenguaje de programación Java. No es una función que conozcan los usuarios, pero sí una herramienta muy utilizada por los desarrolladores.
Logo de Apache Long4J Omicrono
Ante esta brecha de seguridad, los piratas informáticos solo tienen que enviar un pequeño código malicioso que se registre en Log4j, si está biblioteca está en su versión 2.0 o posterior, inmediatamente dará acceso al atacante al sistema, quién podrá ejecutar código de forma remota, es decir, será capaz de controlar a distancia el dispositivo, sin mucha resistencia.
Solo 24 horas después de que se descubriera el problema, los desarrolladores de esta biblioteca de registro ya contaban con un parche de seguridad para solucionar esta vulnerabilidad. Sus tres creadores desarrollaron Log4j en su tiempo libre y lo ofrecieron como sistema de código abierto para la comunidad de desarrolladores, algo habitual en la industria.
Log4j maintainers have been working sleeplessly on mitigation measures; fixes, docs, CVE, replies to inquiries, etc. Yet nothing is stopping people to bash us, for work we aren't paid for, for a feature we all dislike yet needed to keep due to backward compatibility concerns. https://t.co/W2u6AcBUM8
— Volkan Yazıcı (@yazicivo) December 10, 2021
Ahora estos tres informáticos se defienden en redes sociales de las múltiples críticas que les han llegado por la brecha de seguridad. Volkan Yazıcı, defiende en Twitter que "han estado trabajando sin dormir (y sin cobrar) en las medidas de mitigación; arreglos, documentos, CVE, respuestas a consultas, etc." para sacar en pocas horas una solución con la que bloquear la brecha. Ahora depende de los desarrolladores del resto de servicios y aplicaciones que hayan utilizado Log4j que actualicen a la versión 2,15.0 de Log4j para tapar el problema.
Una brecha mundial
La importancia de la vulnerabilidad encontrada en Log4j reside en su popularidad, esté sistema "se usa ampliamente en muchas aplicaciones y está presente, como dependencia, en muchos servicios, incluyendo aplicaciones empresariales y servicios en la nube como Steam o Apple iCloud" indica el Centro Criptológico Nacional de España.
Empresas y agencias de ciberseguridad califican esta vulnerabilidad como una de las más peligrosas hasta la fecha, incluso la Apache Software Foundation le ha otorgado un nivel de riesgo de 10 sobre 10. Mathew Prince, CEO de Cloudflare, avisa en sus redes sociales que el problema es tan relevante que su empresa va a desplegar mecanismos para mitigarlo hasta en su servicio gratuito.
We’ve made the determination that #Log4J is so bad we’re going to try and roll out at least some protection for all @Cloudflare customers by default, even free customers who do not have our WAF. Working on how to do that safely now.
— Matthew Prince 🌥 (@eastdakota) December 10, 2021
Desde la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) en Estados Unidos, aseguran que, incluso con el parche de Apache ya aplicado, será necesario un "esfuerzo sostenido" por parte de las organizaciones para recuperar la seguridad de sus servicios y sistemas.
De ese esfuerzo dependen los millones de usuarios que en sus casas solo pueden hacer una cosa para proteger sus dispositivos y datos: mantener al día las actualizaciones que las organizaciones y empresas despliegan con parches de seguridad.
