CVE-2021-44228

Esto es Log4Shell, y se gana cada parte de su 10.0. La sustitución de búsqueda de mensajes de Log4j2 resolverá referencias JNDI controladas por el atacante, de modo que cualquier cadena que un atacante pueda hacer que se registre —un User-Agent, un campo de formulario, un mensaje de chat— puede apuntar el logger hacia un endpoint LDAP hostil y cargar código remoto. El atacante no necesita alcanzar un endpoint especial; solo necesita meter texto en una línea de registro, que es casi toda la superficie de ataque de una aplicación moderna. No autenticado, remoto, trivialmente activable.

El ritmo en el mundo real aquí fue histórico: en cuestión de días desde la divulgación, esto pasó de prueba de concepto a explotación masiva indiscriminada por botnets, grupos de ransomware y actores de estado-nación por igual, porque el componente vulnerable está enterrado dentro de una fracción asombrosa del software Java y el disparador es muy fácil de introducir de contrabando. La dificultad definitoria nunca fue entender el fallo, sino que log4j-core se esconde en lo profundo de las dependencias transitivas, dentro de appliances y productos de proveedores donde los operadores ni siquiera sabían que residía. Nótese la delimitación: esto es log4j-core específicamente, no log4net, log4cxx u otros proyectos de Logging Services.

Este es el caso canónico de inventario profundo de dependencias por encima del rastreo superficial, y es exactamente donde ganamos nuestro sustento. La jugada ganadora es responder, a lo largo de todo lo que ejecutamos y todo lo que nuestros proveedores nos entregan, dónde está log4j-core embebido y en qué versión —incluidas las copias transitivas y enterradas en appliances que ningún escaneo de activos simple revela—. Hasta que una instalación se confirme en una versión corregida (2.16.0 o los backports 2.12.2/2.12.3/2.3.1, siendo 2.15.0 solo un paso parcial), tratamos los servicios Java accesibles desde internet como objetivos y emparejamos la aplicación de parches con el filtrado de egreso hacia LDAP hostil como parche virtual.