Seguro que ya has leído algo o has visto algo en redes sociales. Log4j no es una vulnerabilidad en sí, sino que es el nombre de una biblioteca de código abierto desarrollada en Java (también se ha escrito en otros lenguajes como Ruby, C, C++, Python, etc.) por Apache Software Foundation. Gracias a ella, los desarrolladores de software pueden implementar mensajes de registro sobre transacciones en tiempo de ejecución en varios niveles de importancia.

La vulnerabilidad CVE-2021-44228 que se ha hecho pública recientemente afecta a Apache Log4j 2.x. La vulnerabilidad se ha llamado Log4Shell o LogJam, y fue descubierta el pasado 9 de diciembre por un ingeniero de ciberseguridad que se hace llamar p0rz9 en redes. Éste experto también publicó un repositorio en Github sobre este agujero de seguridad.

Esta vulnerabilidad de Log4j permite explotar una validación de entrada incorrecta a LDAP, permitiendo ejecución remota de código (RCE), y comprometiendo el servidor (confidencialidad, integridad de datos y disponibilidad del sistema). Además, el problema o importancia de esta vulnerabilidad reside en la cantidad de aplicaciones y servidores que la usan, incluyendo software empresarial y servicios en la nube como Apple iCloud, Steam, o videojuegos tan populares como Minecraft: Java Edition, Twitter, Cloudflare, Tencent, ElasticSearch, Redis, Elastic Logstash, y un largo etc.

Dada la facilidad de explotación y los sistemas tan críticos que lo usan, es probable que muchos ciberdelincuentes la aprovechen para extender su ransomware. Mientras que otros intenta poner soluciones, como Florian Roth de Nextron Systems, que ha compartido unas reglas YARA para detectar intentos de explotación de la vulnerabilidad Log4j.

Apache Foundation también se ha apresurado para dar solución, publicando un parche para ésta vulnerabilidad. Por eso, es de vital importancia que actualices ya a la versión Log4j 2.15.0., si cuentas con un servidor o sistema afectado. Para más información de cómo hacerlo, puedes visitar este link de descarga y con información al respecto.