{"id":896,"date":"2022-02-10T12:09:01","date_gmt":"2022-02-10T11:09:01","guid":{"rendered":"https:\/\/www.glub.biz\/?p=896"},"modified":"2022-02-10T12:09:01","modified_gmt":"2022-02-10T11:09:01","slug":"vulnerabilidad-critica-en-apache-log4j-log4shell","status":"publish","type":"post","link":"https:\/\/www.glub.biz\/?p=896","title":{"rendered":"Vulnerabilidad cr\u00edtica en Apache Log4j (Log4Shell)"},"content":{"rendered":"<p><strong>Se ha corregido una vulnerabilidad de severidad cr\u00edtica que afecta a Log4j que podr\u00eda permitir la ejecuci\u00f3n remota de c\u00f3digo. Log4j es una utilidad de registro de c\u00f3digo abierto basada en Java, ampliamente utilizada por aplicaciones empresariales y servicios en la nube.<\/strong><br \/>\n<img decoding=\"async\" src=\"https:\/\/www.glub.biz\/media\/images\/2022\/apache-Log4j.jpg\" alt=\"Log4j (Apache)\" class=\"alignnone size-medium\" width=\"480\"><br \/>\nApache es uno de los programas m\u00e1s utilizados por los servidores de Internet. Cuando visitamos cualquier p\u00e1gina web es muy probable que estemos conectado con una m\u00e1quina que tenga instalado el servidor de HTTP Apache. Y dentro de Apache tenemos un software que se encarga de la gesti\u00f3n y control de los archivos de registro o LOGs. Un software que se llama Log4j.<\/p>\n<p>Log4j es una biblioteca de c\u00f3digo abierto desarrollada en Java por la Apache Software Foundation que permite a los desarrolladores de software escribir mensajes de registro, cuyo prop\u00f3sito es dejar constancia de una determinada transacci\u00f3n en tiempo de ejecuci\u00f3n. Log4j permite filtrar los mensajes en funci\u00f3n de su importancia. La configuraci\u00f3n de salida y granularidad de los mensajes es realizada en tiempo de ejecuci\u00f3n mediante el uso de archivos de configuraci\u00f3n externos.<!--more--><\/p>\n<p>El 24 de noviembre del pasado 2021, investigadores independientes de seguridad inform\u00e1tica informaron a Apache sobre una vulnerabilidad tipo ataque de d\u00eda cero que permit\u00eda la ejecuci\u00f3n de c\u00f3digo arbitrario en Log4j, denominada Log4Shell que fue publicada a trav\u00e9s de un tuit el 9 de diciembre de 2021. Los servicios afectados incluyeron Cloudflare, iCloud, Minecraft (Java Edition), Steam, Tencent QQ, y Twitter. La Apache Software Foundation asign\u00f3 a la vulnerabilidad el nivel m\u00e1ximo de 10, por la posibilidad de que millones de servidores fueran potencialmente vulnerables a ciberataques.<\/p>\n<p>La severidad cr\u00edtica que afecta a Log4j podr\u00eda permitir la ejecuci\u00f3n remota de c\u00f3digo. El procesador Log4j gestiona los mensajes de registro. Si un ciberdelincuente env\u00eda un mensaje especialmente dise\u00f1ado, podr\u00eda ejecutar c\u00f3digo de forma remota. Esta vulnerabilidad podr\u00eda estar ejecut\u00e1ndose de forma activa.<\/p>\n<p>La vulnerabilidad apareci\u00f3 en las versiones de la 2.0-alpha1 hasta 2.16.0, y fue mitigada con la versi\u00f3n 2.17.0. Los usuarios y desarrolladores de los programas que usen la biblioteca deben actualizarla para obtener las actualizaciones de seguridad. El riesgo de esta vulnerabilidad es que es relativamente f\u00e1cil explotarla, por lo que para las organizaciones es importante revisar si est\u00e1n expuestas a este riesgo, existen diferentes pruebas de concepto que muestran la vulnerabilidad que pueden servir de base para evaluar el riesgo.<\/p>\n<p>En Log4J los mensajes son enviados a una (o varias) salida de destino, lo que se denomina un appender. Existen varios appenders disponibles y configurados, aunque tambi\u00e9n podemos crear y configurar nuestros propios appenders. T\u00edpicamente la salida de los mensajes es redirigida a un fichero de texto .log, a un servidor remoto donde almacenar registros, a una direcci\u00f3n de correo electr\u00f3nico, e incluso en una base de datos. Casi nunca es utilizado en un entorno de producci\u00f3n la salida a la consola, ya que perder\u00eda gran parte de la utilidad de Log4J.<\/p>\n<p>Por defecto Log4J tiene seis niveles de prioridad para los mensajes: trace, debug, info, warn, error y fatal. Adem\u00e1s existen otros dos niveles extras, all y off. Estos son los niveles de prioridad (de menor a mayor):<\/p>\n<ul>\n<li>OFF: Este es el nivel de m\u00ednimo detalle, deshabilita todos los logs.<\/li>\n<li>FATAL: Se utiliza para mensajes cr\u00edticos del sistema, generalmente despu\u00e9s de guardar el mensaje el programa abortar\u00e1.<\/li>\n<li>ERROR: Se utiliza en mensajes de error de la aplicaci\u00f3n que se desea guardar, estos eventos afectan al programa pero lo dejan seguir funcionando, como por ejemplo que alg\u00fan par\u00e1metro de configuraci\u00f3n no es correcto y se carga el par\u00e1metro por defecto.<\/li>\n<li>WARN: Se utiliza para mensajes de alerta sobre eventos que se desea mantener constancia, pero que no afectan al correcto funcionamiento del programa.<\/li>\n<li>INFO: Se utiliza para mensajes similares al modo \u00abverbose\u00bb en otras aplicaciones.<\/li>\n<li>DEBUG: se utiliza para escribir mensajes de depuraci\u00f3n. Este nivel no debe estar activado cuando la aplicaci\u00f3n se encuentre en producci\u00f3n.<\/li>\n<li>TRACE: Se utiliza para mostrar mensajes con un mayor nivel de detalle que debug.<\/li>\n<li>ALL: Sste es el nivel de m\u00e1ximo detalle, habilita todos los logs (en general equivale a TRACE).<\/li>\n<\/ul>\n<p>Este proyecto de la Apache Software Foundation es uno de los varios Java Logging Frameworks existentes. Ademas, hay que destacar que el autor ha comenzado los proyectos SLF4J y Logback, con la intenci\u00f3n de ofrecer un sucesor a Log4j.<\/p>\n<p>Fuentes: <a href=\"https:\/\/www.incibe.es\/protege-tu-empresa\/avisos-seguridad\/vulnerabilidad-critica-apache-log4j\" target=\"_blank\" rel=\"noopener noreferrer\">Incibe<\/a> y <a href=\"https:\/\/es.wikipedia.org\/wiki\/Log4j\" target=\"_blank\" rel=\"noopener noreferrer\">Wikipedia<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Se ha corregido una vulnerabilidad de severidad cr\u00edtica que afecta a Log4j que podr\u00eda permitir la ejecuci\u00f3n remota de c\u00f3digo. Log4j es una utilidad de registro de c\u00f3digo abierto basada en Java, ampliamente utilizada por aplicaciones empresariales y servicios en &hellip; <a href=\"https:\/\/www.glub.biz\/?p=896\">Sigue leyendo <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[],"class_list":["post-896","post","type-post","status-publish","format-standard","hentry","category-noticias"],"_links":{"self":[{"href":"https:\/\/www.glub.biz\/index.php?rest_route=\/wp\/v2\/posts\/896","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.glub.biz\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.glub.biz\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.glub.biz\/index.php?rest_route=\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.glub.biz\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=896"}],"version-history":[{"count":2,"href":"https:\/\/www.glub.biz\/index.php?rest_route=\/wp\/v2\/posts\/896\/revisions"}],"predecessor-version":[{"id":898,"href":"https:\/\/www.glub.biz\/index.php?rest_route=\/wp\/v2\/posts\/896\/revisions\/898"}],"wp:attachment":[{"href":"https:\/\/www.glub.biz\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=896"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.glub.biz\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=896"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.glub.biz\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=896"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}