Vulnerabilidad crítica en Apache Log4j
- Todas las versiones de Apache log4j-core con versiones desde la 2.0-beta9 hasta la 2.14.1, ambas incluidas.
Esta librería es utilizada en muchos productos. El investigador SwiHak ha publicado una lista para poder consultar los productos afectados.
[Actualización 22/12/2021]: Todas las versiones de Apache log4j-core, desde la 2.0-beta9 hasta la 2.16, ambas incluidas.
Se ha corregido una vulnerabilidad de severidad crítica que afecta a Log4j que podría permitir la ejecución remota de código. Log4j es una utilidad de registro de código abierto basada en Java, ampliamente utilizada por aplicaciones empresariales y servicios en la nube.
[Actualización 15/12/2021]: Esta vulnerabilidad podría estar siendo explotada. Es importante detectar y solucionar productos no comerciales o desarrollos ad-hoc que utilicen e integren esta librería pues estarían también afectados por esta vulnerabilidad.
[Actualización 20/12/2021]: Se ha corregido una vulnerabilidad de severidad alta presente en la actualización 2.16.0 que podría permitir a un atacante realizar un ataque de denegación de servicio (DoS).
- [Actualización 15/12/2021]: El equipo de Log4j ha publicado la versión 2.16.0 pues la versión 2.15.0 no solucionaba completamente la vulnerabilidad lo que podría permitir a un atacante provocar una denegación del servicio.
- [Actualización 20/12/2021]: El equipo de Log4j ha publicado una nueva versión 2.17 que soluciona la vulnerabilidad de severidad alta, también pueden emplearse medidas de mitigación.
Para las versiones anteriores a la 2.10, puede mitigarse estableciendo la propiedad del sistema log4j2.formatMsgNoLookups = true
Recuerda la importancia de mantener tus sistemas y aplicaciones siempre actualizados:
- Política de actualizaciones de software
- Minimiza los riesgos de un ataque: ¡actualiza el software!
- Buenas prácticas en el área de informática
- Evalúa los riesgos de tu empresa en tan solo 5 minutos
¿Te gustaría estar a la última con la información de nuestros avisos? Anímate y suscríbete a nuestros boletines, al canal de Telegram @ProtegeTuEmpresa, al perfil de twitter @ProtegeEmpresa o síguenos en Facebook. Serás el primero en enterarte de los últimos avisos de seguridad para empresas. También ponemos a tu disposición la Línea gratuita de Ayuda en Ciberseguridad de INCIBE, 017; y nuestros canales de chat de WhatsApp (900 116 117) y Telegram (@INCIBE017), o mediante el formulario web.
El procesador Log4j gestiona los mensajes de registro. Si un ciberdelincuente envía un mensaje especialmente diseñado, podría ejecutar código de forma remota. Esta vulnerabilidad podría estar ejecutándose de forma activa.
Tu soporte técnico puede consultar una solución más detallada en el área de avisos de INCIBE-CERT.
