Las brechas de seguridad y los ataques informáticos están a la orden del día, el hecho de que se esté convirtiendo en costumbre puede provocar que se minimice la importancia de nuevas vulnerabilidades. Sin embargo, casos recientes como el de Log4Shell vuelven a poner de manifiesto el impacto que una vulnerabilidad puede tener en millones de dispositivos, tanto en España como en el resto del mundo.

Este fallo de seguridad ha dejado la puerta abierta para que los hackers ataquen los servidores de Minecraft, simplemente con un mensaje en el chat de una partida. Las agencias de ciberseguridad alertan que esta brecha puede desencadenar ataques de ransomware, otros relacionados con las criptomonedas y muchos más.

Aunque la vulnerabilidad ya cuenta con un parche para solucionar el problema, se espera que el fallo tarde en solucionarse bastante tiempo, dado el gran número de sistemas y dispositivos que se han visto afectados. Mientras, los usuarios solo pueden estar pendientes de futuras actualizaciones que les brinden la protección necesaria.

El fallo de Long4Shell

La vulnerabilidad se conoce como Log4Shell (CVE-2021-44228) y afecta a Apache Log4j, una biblioteca de código abierto desarrollada por Apache Foundation cuyo objetivo es mantener un registro de las actividades realizadas durante la ejecución en las aplicaciones que pertenecen al lenguaje de programación Java. No es una función que conozcan los usuarios, pero sí una herramienta muy utilizada por los desarrolladores.

Logo de Apache Long4J Apache Long4J Omicrono

Ante esta brecha de seguridad, los piratas informáticos solo tienen que enviar un pequeño código malicioso que se registre en Log4j, si está biblioteca está en su versión 2.0 o posterior, inmediatamente dará acceso al atacante al sistema, quién podrá ejecutar código de forma remota, es decir, será capaz de controlar a distancia el dispositivo, sin mucha resistencia.

Solo 24 horas después de que se descubriera el problema, los desarrolladores de esta biblioteca de registro ya contaban con un parche de seguridad para solucionar esta vulnerabilidad. Sus tres creadores desarrollaron Log4j en su tiempo libre y lo ofrecieron como sistema de código abierto para la comunidad de desarrolladores, algo habitual en la industria.

Ahora estos tres informáticos se defienden en redes sociales de las múltiples críticas que les han llegado por la brecha de seguridad. Volkan Yazıcı, defiende en Twitter que "han estado trabajando sin dormir (y sin cobrar) en las medidas de mitigación; arreglos, documentos, CVE, respuestas a consultas, etc." para sacar en pocas horas una solución con la que bloquear la brecha. Ahora depende de los desarrolladores del resto de servicios y aplicaciones que hayan utilizado Log4j que actualicen a la versión 2,15.0 de Log4j para tapar el problema.

Una brecha mundial

La importancia de la vulnerabilidad encontrada en Log4j reside en su popularidad, esté sistema "se usa ampliamente en muchas aplicaciones y está presente, como dependencia, en muchos servicios, incluyendo aplicaciones empresariales y servicios en la nube como Steam o Apple iCloud" indica el Centro Criptológico Nacional de España.

Empresas y agencias de ciberseguridad califican esta vulnerabilidad como una de las más peligrosas hasta la fecha, incluso la Apache Software Foundation le ha otorgado un nivel de riesgo de 10 sobre 10. Mathew Prince, CEO de Cloudflare, avisa en sus redes sociales que el problema es tan relevante que su empresa va a desplegar mecanismos para mitigarlo hasta en su servicio gratuito.

Desde la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) en Estados Unidos, aseguran que, incluso con el parche de Apache ya aplicado, será necesario un "esfuerzo sostenido" por parte de las organizaciones para recuperar la seguridad de sus servicios y sistemas. 

De ese esfuerzo dependen los millones de usuarios que en sus casas solo pueden hacer una cosa para proteger sus dispositivos y datos: mantener al día las actualizaciones que las organizaciones y empresas despliegan con parches de seguridad.

También te puede interesar...

• Un fallo de seguridad en Microsoft puso en peligro los datos de miles de empresas
• BlackMatter, los nuevos hackers que atacan empresas millonarias pero no cortan servicios básicos
• Los routers de Movistar, en peligro por una vulnerabilidad descubierta hace meses