Log4j: i problemi aumentano! C’è una terza vulnerabilità contenuta nella prima patch

La seconda vulnerabilità a carico di Apache Log4j identificata nei giorni scorsi e che va ad aggravare il quadro di Log4Shell è già attivamente sfruttata da diversi attori di minaccia, rendendo così ancor più impellente la necessità di installare la versione 2.16.0 di Log4j che elimina il problema

Riassumendo brevemente la situazione, lo strumento Log4j di Apache, diffusamente utilizzato per effettuare il logging di eventi software soffre di una vulnerabilità grave, CVE-2021-44228, che consente di eseguire facilmente codice da remoto senza autorizzazione. La vulnerabilità è stata risolta nella versione 2.15.0 di Log4j che tuttavia è risultata "incompleta", lasciando aperta una seconda falla, CVE-2021-45046, che può consentire l'esecuzione di attacchi denial-of-service. Questa falla è stata risolta nella versione 2.16.0.

Purtroppo però le cattive notizie non cessano di arrivare: è stata individuata infatti una terza nuova vulnerabilità dalla società di sicurezza Praetorian proprio nella versione 2.15.0 di Log4j che può consentire "l'esfiltrazione di dati sensibili in determinate circostanze". Non sono stati divulgati una serie di dettagli tecnici che permetterebbero di comprendere meglio le possibilità di sfruttamento ma attualmente non è chiaro se questo sia già stato risolto nella versione 2.16.0.

La scoperta della terza vulnerabilità avviene in un momento in cui oltre ad una crescita significativa dei tentativi di sfruttamento sono state rilevate dalle società di sicurezza anche la discesa in campo dei sofisticati collettivi hacker supportati da governi, tra cui i famigrerati Hafnium e Phosphorous.

A ciò si aggiunge una nota del Threat Intelligence Center di Microsoft, il quale ha rilevato che anche gli initial access broker stanno attivamente sfruttando Log4Shell per ottenere accesso a reti bersaglio, e rinvenderlo successivamente a terzi principalmente interessati alla diffusione e infezione da ransomware.