El viernes, December 10, 2021, la Fundación Apache anunció una grave vulnerabilidad de seguridad (CVE 2021-44228) en la mayoría de las versiones de su utilidad de código abierto Log4j, una popular herramienta de registro que se ha integrado en miles —si no cientos de miles— de aplicaciones y servicios de software.
La API de la Interfaz de Nomenclatura y Directorio de Java (JNDI) permite a las aplicaciones Java buscar datos y recursos en servicios de directorio externos, como LDAP o DNS. Un atacante puede aprovechar la funcionalidad JNDI y hacer que el sistema de la víctima recupere una biblioteca externa de un servidor que el atacante controle. Esos comandos podrían utilizarse para instalar malware, borrar datos, sustraer datos, copiar credenciales o llevar a cabo otras acciones maliciosas.
Las consecuencias son enormes. Miles de aplicaciones informáticas, incluidas aplicaciones comerciales muy conocidas de algunas de las empresas más importantes del sector del software empresarial, son vulnerables a ser pirateadas y utilizadas con fines maliciosos.
Este software se encuentra incluso en dispositivos de uso cotidiano, como televisores y quioscos de tiendas. Google estima que aproximadamente el 4 % del repositorio Maven Central Java —el repositorio de paquetes Java más importante que existe— se ve afectado por esta vulnerabilidad.
Los ataques pueden lanzarse a través de navegadores web, líneas de comandos y otros tipos de entradas. Un investigador de seguridad llegó incluso a sugerir que al presentar un código QR cuidadosamente elaborado en un quiosco de consulta de precios de una tienda , los atacantes podrían hacerse con el control de los sistemas informáticos de la tienda.
Para obtener información detallada sobre cómo comprender y mitigar las Log4j amenazas, vea nuestro seminario web grabado.
https://youtu.be/ygaaetd-9Is
Los equipos de seguridad se apresuran a prevenir Log4j ataques
Apache ha publicado parches para la versión Log4j que solucionan este problema.
Ahora comienza la carrera: ¿Podrán los equipos de seguridad informática detectar todas las instancias de « Log4j » en todo su software y en todos sus dispositivos finales antes de que los atacantes se aprovechen de esta vulnerabilidad para lanzar ataques?
Los atacantes no se quedan de brazos cruzados. En las 72 horas siguientes al anuncio de la vulnerabilidad, se lanzaron más de 800,000 ataques contra diversas aplicaciones. Y el panorama de las amenazas no hace más que empeorar.
- Cloudflare está registrando actualmente más de 1,000 ataques por hora, frente a los Log4j anteriores.
- Una banda de ciberdelincuentes de China está utilizando el número Log4j para infectar el software VMware Horizon con el NightSky, una nueva familia de ransomware.
- Los mineros de criptomonedas ya han lanzado ataques contra sistemas que ejecutan la versión Log4j.
- Los atacantes han utilizado el puerto Log4j para incorporar dispositivos a dos redes de bots de Linux: Muhstik y Mirai.
- Los atacantes han logrado infiltrarse en objetivos de gran importancia, como el y el Ministerio de Defensa de Bélgica.
- Algunos kits de herramientas populares del «equipo rojo» han incorporado funciones para explotar Log4j vulnerabilidades, lo que pone esta técnica de explotación al alcance de un número aún mayor de personas.
Es posible que el software «Vulnerable Log4j » esté instalado en el ordenador de cualquier usuario final. Lo que es peor, también podría estar presente en las copias de seguridad y las imágenes de referencia, lo que significa que las Log4j instancias eliminadas este mes podrían reaparecer en el futuro cuando sea necesario restaurar un sistema o aprovisionar nuevos sistemas.
La FTC espera que las empresas corrijan las vulnerabilidades o se enfrenten a sanciones reglamentarias
Dado que el impacto de esta vulnerabilidad es tan generalizado, la Comisión Federal de Comercio de EE. UU. (FTC) ha intervenido. El January 4, 2022 publicó un comunicado en el que señalaba que la norma Log4j ponía en peligro la protección de los datos de los consumidores y recordaba a las empresas que «la obligación de adoptar medidas razonables para mitigar las vulnerabilidades conocidas del software está contemplada en leyes como, entre otras, la Ley de la Comisión Federal de Comercio y la Ley Gramm-Leach-Bliley».
Para garantizar que nadie subestime la gravedad de su advertencia, la FTC cita la multa de 700 millones de dólares que impuso a Equifax en 2017 ( ) por no haber corregido una vulnerabilidad conocida de Apache Struts. Esa falta de aplicación de parches por parte de terceros provocó una filtración de datos que acabó por revelar la información privada de 143 millones de consumidores y empañó la imagen de la marca Equifax.
La FTC no considera que la norma Log4j constituya un motivo específico para el escrutinio regulador. Más bien, espera que las empresas detecten y mitiguen sin demora riesgos similares en el futuro. La FTC no podría ser más clara: «La FTC tiene la intención de hacer uso de toda su autoridad legal para actuar contra aquellas empresas que no adopten las medidas razonables necesarias para proteger los datos de los consumidores frente a posibles filtraciones derivadas de la vulnerabilidad Log4j o de otras vulnerabilidades similares que puedan surgir en el futuro».
Conclusión para los equipos de seguridad: las herramientas y los procesos que los equipos de seguridad informática implementen ahora para hacer frente a la vulnerabilidad « Log4j » deben utilizarse de forma continuada en el futuro para detectar y mitigar riesgos similares.
Un problema persistente requiere una solución duradera
Aun dejando de lado la inevitabilidad de que existan otros componentes de software vulnerables, la labor de depuración del Log4j va a requerir un esfuerzo a largo plazo por parte de los equipos de TI. He aquí el motivo.
En primer lugar, más de un mes después de que se anunciara la vulnerabilidad, más del 40 % de las descargas recientes de un total de Log4J siguen siendo versiones vulnerables a posibles ataques. Eso supone el 40 % de más de 10 millones de descargas, lo que genera numerosas oportunidades para los atacantes.
En segundo lugar, los análisis de las redes empresariales están detectando no solo versiones recientes y vulnerables de la herramienta Log4j , sino también versiones 1.x de la misma, cuyo fin de vida útil fue declarado oficialmente por Apache en , tal y como se indica en August 2015. También es un indicio de que probablemente haya copias del Log4j escondidas en lugares insospechados de toda la empresa.
En tercer lugar, aunque un equipo de TI consiga localizar y eliminar todas las instancias vulnerables del archivo JndiLookup.class en Log4j, deberá seguir estando atento a que no se restauren instancias vulnerables a partir de copias de seguridad o de imágenes de referencia de . Además, deben preocuparse por la posibilidad de que los empleados descarguen copias vulnerables de Internet o de que terceros utilicen versiones vulnerables que acaben creando oportunidades para que los atacantes penetren en la red.
Beyond Log4j to continuous threat hunting
Esta práctica continua va más allá del mero descubrimiento y la corrección de las Log4j vulnerabilidades en sí mismas. Dado que la FTC se ha comprometido a sancionar a las empresas que sufran fugas de datos debido a vulnerabilidades similares a la Log4j, una importante agencia reguladora está dejando claro que ya no se tolerarán las deficiencias de larga data en la gestión de parches. El incumplimiento podría acarrear multas de hasta cientos de millones de dólares.
Los equipos de TI deben actuar de inmediato, no solo para detectar y corregir las Log4j vulnerabilidades, sino también para implementar herramientas y procesos que permitan detectar vulnerabilidades en los componentes de software en general. Si dentro de seis meses se descubre que otro componente de software de código abierto contiene una vulnerabilidad de seguridad, los equipos de seguridad deberán actuar con rapidez para detectar y corregir todas las instancias de dicho componente.
Las organizaciones de todo tipo necesitan una forma rápida, eficaz y exhaustiva de detectar componentes de software vulnerables y subsanar las amenazas que estos plantean. El mero hecho de ejecutar scripts de shell para buscar nombres de archivos no resolverá el problema.
Aunque estos scripts son fáciles de escribir o de descargar de un sitio web dedicado a la seguridad, es casi seguro que pasarán por alto las dependencias de software y los componentes integrados. Y lo que es peor, provocarán picos de uso de la CPU en los sistemas críticos de toda la red. Los equipos de seguridad informática deben realizar búsquedas rápidas y exhaustivas sin provocar fallos en los sistemas objeto de la búsqueda.
Cómo puede ayudarle Tanium
Tanium contribuye a proteger contra la vulnerabilidad Log4j gracias a la única plataforma que ofrece datos completos, precisos y de alta fidelidad sobre los terminales, en la que confían las organizaciones más exigentes y complejas del mundo.
La plataforma Tanium de identifica instancias vulnerables de Log4j.
- Tanium Reveal identifica las instancias vulnerables, incluidas aquellas reempaquetadas por proveedores externos, en tan solo unos minutos.
- Tanium Interact facilita el etiquetado de los terminales afectados y la puesta en marcha de los flujos de trabajo del plan de recuperación.
Tanium también detecta indicios de explotación.
- , de Tanium Threat Response, detecta incidentes que indican intentos de explotación en todos los terminales. Utilice «Threat Response» para aislar los terminales que muestren indicios de haber sido comprometidos o de otra actividad sospechosa.
Tanium ayuda a los equipos de seguridad a hacer frente a las amenazas y a reforzar los terminales frente a posibles ataques.
- Tanium Deploy automatiza las actualizaciones de software tan pronto como los proveedores lanzan los paquetes.
- Tanium Interact facilita la aplicación de las correcciones variables de los sistemas.
Tanium también informa sobre la exposición a la vulnerabilidad Log4j y otras amenazas.
- Tanium Comply genera informes sobre todos los dispositivos finales en relación con las deficiencias en la configuración de seguridad y las vulnerabilidades de software, utilizando datos en tiempo real.
- , de Tanium, le permite generar informes exhaustivos sobre sus activos en línea y fuera de línea, a la vez que identifica y realiza un seguimiento de las versiones de software vulnerables.
En el 94 % de las empresas, las soluciones de gestión de terminales de no detectan hasta el 20 % de los terminales que requieren protección. Tanium detecta estos dispositivos finales que suelen pasarse por alto y ofrece una solución rápida y eficaz para detectar y mitigar Log4j amenazas.
Tanium puede ayudarle a determinar si esta vulnerabilidad está afectando a su entorno. Ofrecemos herramientas para ayudar a las organizaciones a identificar el Log4j de forma gratuita. Póngase en contacto con nosotros hoy mismo en.
