El volumen de fallas de software publicadas en la Base de Datos Nacional de Vulnerabilidades (National Vulnerability Database, NVD) de los EE. UU. en 2021 alcanzó un máximo histórico la semana pasada. Pero pocos, si los hubiera, han registrado un puntaje CVSS de 10.0. Desafortunadamente, Apache ha guardado lo peor hasta el último después de que se descubrió un nuevo error de día cero en su popular servicio de registro Log4j a fines de la semana pasada.
Los actores de amenazas reaccionaron con agilidad característica y ya están explotando la vulnerabilidad para varios extremos en muchas plataformas. El impacto se siente en todo el mundo a medida que los equipos de seguridad de los proveedores de tecnología y las empresas se esfuerzan por encontrar, corregir o mitigar el problema.
Vea este breve video para ver cómo Tanium puede ayudar a identificar, investigar y corregir Log4Shell.
https://youtu.be/GSqDaBX7PJw
¿Qué es Log4j/Log4Shell?
Log4j es una popular utilidad de registro de código abierto utilizada por millones de aplicaciones Java. La falla subyacente de “validación de entrada inadecuada” (CVE-2021-44228) se ha denominado “Log4Shell”. Se puede explotar relativamente fácilmente para permitir la ejecución remota de códigos en una máquina comprometida, forzando a una aplicación vulnerable a registrar una cadena específica de caracteres. A medida que las aplicaciones registran muchos tipos diferentes de eventos, hay varias maneras de hacerlo. Para el videojuego de Minecraft, aparentemente era tan fácil como pegar un mensaje corto en un cuadro de chat.
Una versión actualizada de la utilidad, 2.15.0, está disponible ahora. Sin embargo, la dificultad para los equipos de seguridad puede ser encontrar instancias de Log4j en todo su entorno, especialmente si están ocultos en dependencias.
¿Cuál ha sido el impacto hasta ahora?
Se informa que empresas tecnológicas tan diversas como Microsoft, Cisco, Apple, Oracle, VMware y Elastic están expuestas a Log4Shell. Muchos se apresuran a aplicar parches a sus entornos y compartir consejos con los clientes.
Los informes sugieren que los atacantes están escaneando Internet en masa para detectar sistemas vulnerables. Se han detectado ataques que explotan el error para instalar mineros de monedas, exponer las claves de Amazon Web Services (AWS) e instalar Cobalt Strike para ransomware, entre otras cosas.
El equipo de seguridad de productos de Tanium investigó CVE-2021-44228 y no encontró instancias en las que el software de Tanium se viera afectado por la vulnerabilidad en log4j.
Es la temporada para los hackers
Chris Vaughan, Vicepresidente de EMEA, Gestión de cuenta técnica en Tanium, dice que esta vulnerabilidad es la peor que ha visto en su profesión, en términos de cuántas personas y organizaciones se ven afectadas y qué tan grave podría ser el efecto. Cree que los atacantes se dirigirán particularmente al sector del comercio electrónico debido a la cantidad de dinero que pasa por estos sitios web.
“El momento de esta vulnerabilidad emergente es terrible para estas empresas, ya que ahora realizarán cambios de emergencia en sus entornos de TI en su momento más ajetreado del año con la Navidad acercándose”, explica Vaughan. “Para minimizar el impacto, deben seguir el mismo consejo que ofrecería a las organizaciones de todos los sectores, que es aplicar parches a la vulnerabilidad lo antes posible. Primero deben comenzar con partes orientadas hacia el exterior de su infraestructura de TI, como su sitio web, antes de cambiar su enfoque a sistemas internos”.
¿Cómo puede ayudar Tanium?
Afortunadamente, Tanium ofrece las herramientas para encontrar instancias potencialmente vulnerables, dondequiera que estén, identificar signos de explotación y mitigar el problema. Así es como:
Encontrar instancias vulnerables
- Utilice Tanium Interact con Tanium index para identificar los archivos Apache Log4j2 JAR y sus versiones
- Utilice Tanium Reveal para ejecutar una búsqueda rápida de archivos JAR, EAR y WAR para el uso de la biblioteca Log4j
- Utilice Tanium Comply para crear una evaluación de vulnerabilidades para CVE-2021-44228
Identificar signos de explotación
- Utilice Tanium Threat Response para importar las reglas YARA relevantes
- Como alternativa, utilice Tanium Threat Response para buscar paquetes Log4j vulnerables importando los hashes relevantes
Mitigar o parchar CVE-2021-44228
- Utilice Tanium Interact para crear paquetes de Tanium diseñados para mitigar el error al:
- Habilitación de la propiedad del sistema the log4j2.formatMsgNoLookups (para Log4j versiones 2.10 - 2.14.1)
- Eliminar JndiLookup.class de la ruta de clase (para Log4j versiones 2.10 y anteriores)
- Utilice Tanium Deploy para entregar versiones actualizadas del software que ha identificado como afectado en su entorno
Se pueden encontrar más detalles en este video publicado por el arquitecto de TI de Tanium en EMEA, Oliver Cronk.
El impacto de Log4Shell en el panorama de amenazas y los equipos de seguridad global aún no está claro, aunque las repercusiones podrían ser duraderas. Pero las mejores prácticas siguen siendo las mismas. Como siempre, mitigar el riesgo crítico en su entorno de TI comienza con visibilidad y control.
Comuníquese con Tanium para ver si esta vulnerabilidad está afectando su entorno y le proporcionaremos, sin cargo, la capacidad de ayudarlo a abordarla.
