Vulnerabilidad log4j

El 24 de noviembre de 2021, el equipo de seguridad de Alibaba Cloud informó oficialmente de la vulnerabilidad de ejecución remota de código de Apache Log4j mediante la cual un atacante puede construir, sin configuraciones especiales, solicitudes maliciosas para desencadenar vulnerabilidades de ejecución remota de código (exploit).

El Log4jShell, como es conocido, fue difundido masivamente a partir del 9 de diciembre de 2021 en redes sociales, Github y oficialmente en el reporte CVE-2021-44228; y afecta a las versiones de Apache Log4j comprendidas entre las versiones 2.0 y 2.14.1

¿Qué es Apache Log4j?

Log4j 2 es una librería, open source, de registro Java, desarrollada por la Apache Foundation. Log4j 2 permite a los desarrolladores escribir mensajes de registro, cuyo propósito es dejar constancia de una determinada transacción en tiempo de ejecución. Es ampliamente usada en muchas aplicaciones y está presente, como una dependencia, en muchos servicios. Estos incluyen aplicaciones empresariales y servicios en la nube.

¿Cómo afecta a la IDESF?

La IDESF cuenta con una pila de productos Java entre los cuales se encuentran:

• Geoserver
• Geofence
• Geowebcache
• Geonetwork

Además se utiliza el motor de búsquedas Solr.

Todos estos productos fueron revisados por el equipo de profesionales de la IDESF y actualizados con versiones “sanas” de la librería afectada.

Referencias

• CVE-2021-44228
• Segu.Info #Log4Shell: vulnerabilidad crítica con exploit para #Log4j 2 - Actualizado CVE-2021-44228
• Apache Log4j 2
• Our response to Log4J zero-day vulnerability
• Log4Shell: RCE 0-day exploit found in log4j 2, a popular Java logging package
• CVE-2021-44228 – Log4j 2 Vulnerability Analysis