Log4j, arriva un'altra patch. E intanto si muove anche il gruppo ransomware Conti

Apache ha rilasciato una nuova patch, la 2.17.0, per Log4j dopo aver scoperto alcuni problemi con la versione precedente. Nelle note di rilascio viene comunicato che la versione 2.16 "non sempre protegge da una ricorsione incontrollata nelle ricerche", spiegando che risulta ancora vulnerabile a CVE-2021-45105, che può portare ad attacchi di tipo Denial of Service. Si tratta di una vulnerabilità con gravità alta, e punteggio CVSS di 7,5. Il problema è stato scoperto dal ricercatore Hideki Okamoto di Akamai Technologies.

Nel frattempo Google ha condotto un'analisi su Maven Central, il più grande repository di pacchetti Java scoprendo che oltre 35 mila artefatti Maven fanno uso in qualche misura di Log4j e sono quindi interessati dal problema: "Le dipendenze dirette rappresentano circa 7000 degli artefatti interessati, il che significa che qualsiasi delle versioni di ciascuno dipende da una versione interessata di log4j-core o log4j-api, come descritto nei CVE. La maggior parte degli artefatti proviene da dipendenze indirette, il che significa che log4j non è esplicitamente definito come una dipendenza dell'artefatto, ma viene inserito come una dipendenza transitiva" spiegano James Wetter e Nicky Ringland di Google.

Un altro campanello d'allarme giunge poi dai ricercatori di Blumira, che hanno individuato la possibilità di usare vettori di attacco alternativi che possono innescare l'esecuzione di codice da remoto anche su macchine prive di patch e presenti su reti interne, quindi non necessariamente esposte all'esterno. In questo modo la superficie vulnerabile aumenta in maniera significativa, dal momento che può impattare su servizi che operano in localhost.

Si segnala inoltre che la società di sicurezza Advanced Intelligence ha riscontrato che il gruppo ransomware Conti ha iniziato a sfruttare la vulnerabilità Log4Shell. I ricercatori di AdvIntel hanno in particolare confermato che gli hacker hanno preso di mira VMware vCenter in un contesto di cosiddetto "movimento laterale" dopo aver guadagnato accesso a sistemi e reti sfruttando il problema a carico di Log4J.