edición general
183 meneos
3304 clics
Log4Shell es la vulnerabilidad crítica 'de proporciones catastróficas' que amenaza con destrozar internet

Log4Shell es la vulnerabilidad crítica 'de proporciones catastróficas' que amenaza con destrozar internet

Varias agencias nacionales de ciberseguridad publicaron alertas sobre el tema, y los expertos avisaban de lo fácil que era exponer especialmente a grandes empresas que usan esa librería de forma habitual. La propia Apache Software Foundation calificó la vulnerabilidad — corregida en Log4j 2.15.0 — con un índice de peligrosidad de 10 sobre 10. | Relacionada: menea.me/251c8

| etiquetas: peligrosidad de 10 sobre 10 , apache , log4shell , internet
82 101 4 K 357 hacking
52 comentarios
82 101 4 K 357 hacking
Comentarios destacados:              
  1. pitercio #1 pitercio
    Es que es la polla, le puedes mandar cualquier .class vía http al apache o nginx preguntando lo que quieras o poniéndole a hacer trabajillos. Yo diría que es un 11 sobre 10.
    13 K 138
  2. #2 --693770--
    El apocalipsis informático del año.
    1 K 15
  3. Veelicus #3 Veelicus
    Just Java....
    8 K 58
  4. #4 drnth
    #1 Apache y nginx, ambos escritos en C. ¿Qué dices que te van a ejecutar?
    5 K 36
  5. pax0r #5 pax0r
    #1 se puede parar con un waf filtrando el header de la petición maliciosa
    1 K 19
  6. #6 SeuMadruga
    Pues para llevar cuatro días, todavía no se ha acabado el mundo. ¿Se acabará mañana, cuando haya todavía más sistemas parcheados?
    1 K 12
  7. #7 --42246--
    #5 Las empresas apenas invierten en tener un waf en condiciones. Así pasa luego claro
    0 K 10
  8. pax0r #8 pax0r
    #7 las que yo conozco si, cloudflare te da waf gratis por ejemplo
    0 K 9
  9. pkreuzt #9 pkreuzt
    Lo que ya decía aquí:

    old.meneame.net/c/34377344

    :troll:
    7 K 82
  10. #10 Drazul
    #5 da igual el waf porque el ataque puede usar otros vectores que para un waf deberían ser legítimos (a no ser que se meta a parsear todo el paquete http, incluido el body)

    Hay pruebas de ataque a Apple cambiando el nombre de usuario de iCloud (dime cómo paras eso con un waf).

    Al final todo lo que llegue al logger lo hace vulnerable, pero la petición puede ir en el body, o incluso en el path de la url.
    1 K 23
  11. mudit0 #11 mudit0
    Después de la lava, vino el Java :troll:

    (sí, ya sé que hoy estoy sembrado)
    0 K 11
  12. box3d #12 box3d
    #4 Apache Tomcat.
    Nginx sobra un rato.
    4 K 50
  13. box3d #13 box3d
    #9 y yo salvando el planeta sin saberlo...
    0 K 10
  14. #14 --625430--
    #10 #5 Hasta el server del Minecraft ha sido vulnerable.
    0 K 10
  15. #15 --334659--
    ¿Tanto se usa el log4j este?.
    0 K 6
  16. yolibruja #16 yolibruja
    Otra catástrofe de dimensiones descomunales que acabarán con el universo... como el síndrome del año 2000 que iba a colapsar toda la sociedad... y al final si no es porque le dieron tanto bombo la mayoría ni nos enteramos.
    1 K 12
  17. #17 --624466-- *
    "Log4j es un entorno de trabajo para registro de actividad en Apache y que permite monitorizar la actividad en una aplicación"

    Soy yo, o esto no tiene el más mínimo sentido?

    Imagino que han traducido framework por "entorno de trabajo" y "log" por "registro de actividad que permite monitorizar la actividad" (sic), ¿pero solo en Apache?

    Me da que el que ha escrito eso ha visto poco código.
    5 K 60
  18. #18 --624466-- *
    #16 A lo mejor porque le dieron tanto bombo, no sufriste los efectos. Además, la sociedad no estaba tan digitalizada.

    Esto es como si todos los países hubieran actuado bien con el coronavirus (empezado por su el país de origen), que seguramente la gente estaría echando humo de que los hubieran confinado por algo más leve que una gripe.
    3 K 26
  19. Polarin #19 Polarin
    #6 Es que el problema es el uso en redes que has penetrado, pero que no habia forma de expandirse. Ahora si y es facilisimo.

    Creo que lo de menos son los sistemas que estan de cara a internet. Pero hasta aqui puedo leer...
    0 K 7
  20. frg #20 frg
    #15 SÍ
    2 K 42
  21. Polarin #21 Polarin
    #4 No puedes usar un ftp o un scp para dejar el payload y luego usar un java para ejecutarlo?
    0 K 7
  22. frg #22 frg
    #9 Si dices java tres veces, aparece Skynet y se termina el mundo :-D
    0 K 13
  23. #23 alvdavi
    Desde el equipo de AWS Corretto hemos sacado una utilidad que permite parchear este fallo de seguridad en caliente, sin necesidad de reiniciar la maquina virtual de java:
    github.com/corretto/hotpatch-for-apache-log4j2

    Esto puede ser util para aquellos que tienen servicios criticos que no pueden parar fuera de ventanas de mantenimiento, casos de aplicaciones que se distribuyen con todas sus dependencias y para las que aun no hay un parche o casos donde copias de las clases de log4j estan presentes en un namespace distinto
    11 K 100
  24. #24 alvdavi
    #1 Eso solo es posible contra versiones de OpenJDK que esten configuradas para aceptarlo. Desde OpenJDK 8u191 la configuracion por defecto es deshabilitarlo. Como referencia, esa version tiene mas de tres años.

    Aun asi, eso no significa que utilizando una version de OpenJDK mas nueva se este completamente a salvo. La vulnerabilidad en Log4j sigue siendo critica y la recomendacion es actualizar Log4j
    0 K 6
  25. #25 Razhan
    #2 En el top de la decada para mi, con Heartbleed y Shellshock
    0 K 6
  27. xkill #27 xkill
    #8 una cosa es poner un waf y otra configurarlo
    1 K 20
  28. #28 chavi
    #21 Hombre, si permites a todo quisque subir cosas por FTP o scp esta vulnerabilidad es tu menor problema
    2 K 30
  29. Ñbrevu #29 Ñbrevu
    Lo mejor es que sacaron el arreglo en la versión 2.15.0 y al rato la volvieron a romper xD . Así que hay que instalarse la 2.15.0-rc2. Hasta que la vuelvan a romper y toque una nueva, supongo.
    1 K 27
  30. osiris #30 osiris
    #16 porque algunos nos pasamos muchas horas revisando y certificando que no pasase nada.
    6 K 46
  31. sillycon #31 sillycon
    Y sin exagerar
    0 K 10
  32. frg #32 frg
    #30 Sí, eres viejo. Seguro que fuiste uno de esos que pasaste la nochevieja de ese año en una oficina. Gracias. :-D
    0 K 13
  33. frg #33 frg
    #29 Es lo que tiene cuando parcheas y publicas rápido.
    0 K 13
  34. Hil014 #34 Hil014 *
    #24 eso o deshabilitar la la ejecución desde jdni con la variable "log4j2.formatMsgNoLookups=true"

    O desactivar jdni directamente
    1 K 0
  35. #35 --89888--
    #32 Algunos nos libramos de la guardia de ese día de milagro.
    1 K 11
  36. #36 --453660--
    Me debato entre duplicada (ya se enviaron varias noticias hablando sobre la vulnerabilidad y desglosándola) o sensacionalista, por el titular de mierda a lo Piqueras.
    0 K 10
  37. #37 ninefingers
    #2 del mes más bien.
    0 K 6
  38. #38 ninefingers
    #6 no les estropees el clickbait hombre, que quedan muchas viejas por asustar aún.
    0 K 6
  39. #39 ninefingers
    #17 es xataka, qué esperas? que sepan de lo que hablan?
    1 K 15
  40. JCabrerizo #40 JCabrerizo
    #29 Llegue tarde a la fiesta y no segui la publicacion, pero dejame explicar algo: RC significa release candidate, en este caso, la segunda. Cadidata a ser release oficial.

    El ciclo es trabajar sobre la version SNAPSHOT, y cuando se han desarrollado todas las caracteristicas que se quieren en la version a publicar, se marca como RC, y se prueba, y se prueba, y se prueba, lo nuevo y lo viejo, o asi deberia ser. Si se encuentra un problema, se arregla, y se hace una RC2, y se prueba de nuevo todo. Cuando se confia en el resultado, se crea la version sin sufijos: 2.15.0. Si sobre esta hace falta aplicar algun cambio menor, corregir bugs, o lo que sea que no signifique para el equipo una caracteristica digna de una version nueva, se crea la version 2.15.1. Logicamente, antes de 2.15.1 habra habido una 2.15.10-R1

    Asi que resumiendo, el hecho de que haya habido una RC2 a mi me tranquiliza al saber que la RC1 fue testeada al menos un poco y que alguien levanto la mano para que no se publicara con algun problema
    1 K 13
  41. #41 alvdavi
    #34 Esa variable solo es valida para log4j2.10 y superior, en versiones anteriores no esta presente. Nuestro parche bloquea llamadas jndi que se hacen a base de interpretar Strings
    0 K 6
  42. ed25519 #42 ed25519
    #1 si es gorda pero tanto como para romper internet como dice el titular......
    1 K 19
  43. #43 Razhan
    #29 #40 Ya esta la 2.16.0 circulando por ahi
    3 K 38
  44. pax0r #44 pax0r
    #27 esa te la compro
    0 K 9
  45. redscare #45 redscare
    Mandatory XKCD  media
    8 K 57
  46. albandy #46 albandy
    #17 No se para que cojones me he pegado entonces la paliza con los websphere.
    0 K 9
  47. #47 --180193--
    #16 Me pase horas y horas trabajando como un cabrón junto con otras docenas de programadores en COBOL para intentar que no ocurriese nada grave y la gente no se diera cuenta (me imagino que en otros entornos pasaría igual).

    Así que no me lo tomaría tan a la ligera el efecto 2000.

    En el 98 y 99 se contrataron a saco a gente para evitar problemas bastante graves en Bcos,hacienda,tráfico y más lugares,así que adivina como estaba la cosa.
    0 K 7
  48. #48 munchies
    #6 Se acabará en el año 3000 cuando los sistemas informáticos no sepan reaccionar al cambio de milenio. Eso si no ocurre antes en el 2100, 2200, 2300, etc.
    0 K 6
  49. box3d #49 box3d
    #45 Esperemos que ese señor de Nebraska esté en activo para el año 2038 (Fin de los Días en UNIX)
    0 K 10
  50. #50 zancudo
    #16 Yo tuve que parchear algunas aplicaciones para que no hubiera incidencias relacionadas en nada que dependiera de mí.
    0 K 7
  51. Polarin #51 Polarin
    #28 Perdon, no habia leido bien lo vuln, y el comentario de # 4 no tiene sentido una vez que hecho RTFM.
    0 K 7
  52. #52 --699549--
    #42 ni de coña vamos. La auténtica lacra actualmente son los ransomware. La putada es que está disponible entre las librerías de Apache y hay millones de personas descargando librerías todos los días de ahí para implementar nuevas apps, entonces pues debe haberse extendido como la pólvora. De hecho, en mi caso casi pillo por los pelos y cuando lo vi me cagué porque en la empresa desde por la mañana ya empezaron a dar la alarma. Por suerte, es la librería de Java y no de JavaScript.
    0 K 6
comentarios cerrados

menéame