Log4Shell: una vulnerabilidad crítica que afecta a muchos productos
Están afectados todos los productos que utilizan la librería Log4j2 mantenida por Apache Fundation, desde la versión 2.0-beta9 hasta la versión 2.14.1 Esta librería es utilizada en muchos productos, tanto comerciales como en desarrollos propios basados en Java.
Para saber qué fabricantes y productos están afectados, se puede consultar el aviso de seguridad publicado en INCIBE-CERT sobre Log4Shell.
Chen Zhaojun, investigador de Alibaba Cloud Security Team, ha descubierto una vulnerabilidad 0 day crítica, denominada Log4Shell, que podría ser explotada por un atacante remoto para ejecutar código malicioso.
La vulnerabilidad afecta a Apache Log4j, una biblioteca desarrollada por Apache Software Foundation para el desarrollo de aplicaciones en Java. Java es un lenguaje de programación con el que están creados muchos de los programas y aplicaciones usados en los ordenadores, páginas web, etc. por lo que millones de usuarios de cientos de servicios online podrían verse potencialmente afectados.
Revisa qué sistemas, programas, aplicaciones, juegos, etc. utilizas de los que están afectados por este fallo de seguridad -ver apartado “Recursos afectados”- y comprueba en su página web si recientemente se ha publicado una nueva versión, es decir, hay una actualización del mismo, que resuelva el problema detectado.
Es muy importante realizar esta actualización en cuanto esté disponible para poder corregir la vulnerabilidad provocada por Log4Shell y así tener así nuestros programas y aplicaciones protegidos.
En muchos programas, si tienes el sistema de actualizaciones automáticas activas, te avisará de que existe una nueva actualización cuando esté disponible. En cualquier caso, permanece atento ya que pueden aparecer nuevos programas o servicios afectados por Log4Shell o cualquier otra vulnerabilidad que se detecte y, por tanto, deberás actualizar el software, hardware y firmware de tus dispositivos siempre que haya disponible una actualización.
Para ayudarte en este proceso, te facilitamos el siguiente contenido: Aprende a mantener actualizados tus dispositivos, programas y aplicaciones
Como su propio nombre indica, una vulnerabilidad de día cero o Zero Day es un tipo de vulnerabilidad que acaba de ser descubierta y que aún no tiene un parche que la solucione. La principal amenaza reside en que, hasta que se lanza dicho parche correctivo y los usuarios lo instalan en sus equipos, los atacantes tienen vía libre para explotar la vulnerabilidad y sacar provecho del fallo de seguridad. A este tipo de ataques se les denomina ataques de día cero o Zero day attack.
La forma de protegerse de estas vulnerabilidades es la siguiente:
- Activa todas las herramientas de protección de las que dispongas. Un antivirus instalado y actualizado puede suponer la diferencia entre un dispositivo infectado y una amenaza contenida.
- Mantén actualizado todo el software que utilices. Las actualizaciones solucionan errores, cierran brechas y vulnerabilidades que han sido descubiertas, como es el caso de las de día cero o 0-Day.
- Añade una capa extra de seguridad; identifica el software, hardware o firmware que tienes instalado y suscríbete al boletín y avisos de actualidad tanto de dicho software como de la OSI. De este modo, estarás informado ante posibles novedades y amenazas relacionadas con el sistema operativo, programa o app.
¿Te gustaría estar a la última con la información de nuestros avisos? Anímate y suscríbete a nuestros boletines o al perfil de Twitter @osiseguridad y Facebook. Serás el primero en enterarte de los últimos avisos de seguridad dirigidos a ciudadanos. También ponemos a tu disposición una línea gratuita de ayuda en ciberseguridad de INCIBE: 017 y nuestros canales de mensajería instantánea WhatsApp 900116117 y Telegram INCIBE017.