Log4Shell e le prospettive a lungo termine: per quanto ne sentiremo parlare?

La data del 9 dicembre 2021 potrebbe essere ricordata come il giorno in cui l'umanità ha conosciuto una delle più gravi vulnerabilità della storia informatica. La falla Log4Shell a carico dello strumento Log4j di Apache, largamente utilizzato per operazioni di logging di eventi software rappresenta una minaccia le cui conseguenze si ripercuoteranno verosimilmente in futuro e per un tempo piuttosto esteso.

Come già abbiamo sottolineato in precedenza, il grado di gravità di questa falla è determinato dall'incrocio di due fattori: la diffusione di Log4j (si tratta di uno strumento open source che dal 2014 viene utilizzato in moltissime applicazioni Java) e la facilità di sfruttamento della falla stessa che non richiede alcun tipo di operazione sofisticata e può essere potenzialmente alla portata di pressoché chiunque.

La sua diffusione, in particolare, è un aspetto che ha un duplice significato: da un lato la possibilità, per i criminali e aggressori, di disporre di un potenziale parco-vittime amplissimo, dall'altra parte la difficoltà dei responsabili di sicurezza di riuscire a capire se e dove Log4j sia effettivamente presente all'interno delle applicazioni che si trovano a gestire.

Diffusa e facile da sfruttare: Log4Shell è una pacchia per gli hacker

Quanto accaduto una volta che Log4Shell è diventata di pubblico dominio è un copione già visto: il variegato popolo di hacker e criminali non si è attardato a cercare di sfruttare la falla prima dell'applicazione di eventuali patch di sicurezza e delle appropriate contromisure. Per quanto inizialmente siano stati riscontrate installazioni di cryptominer e le prevedibili (ma non per queso meno gravi) compromissioni da ransomware, le vere preoccupazioni sono sulle conseguenze a lungo termine della situazione.

Le società di sicurezza informatica che stanno monitorando la situazione hanno infatti già riscontrato la presenza in campo delle minacce più pericolose, e cioè dei gruppi hacker maggiormente sofisticati (tra i quali anche quelli al soldo di governi e regimi oppressivi) che attualmente sono all'opera per cercare di sfruttare Log4Shell allo scopo di garantirsi un accesso a reti informatiche da utilizzare in un secondo momento. L'obiettivo in questi casi non è quello di approfittare velocemente della vulnerabilità per raccogliere un bottino monetario (com'è il caso ad esempio dei cryptominer e dei ransomware), ma di inserire ed occultare un punto d'accesso all'interno di una rete-bersaglio da sfruttare successivamente con altri fini.

A ciò si aggiunge la prospettiva che molti sistemi, in virtù di un loro utilizzo mission-critical per cui è necessario garantire continuità di servizio, potrebbero anche non essere mai aggiornati, così come molti altri che potrebbero semplicemente sfuggire anche ad una fase di verifica dell'esistenza della vulnerabilità. Non si tratterebbe di una novità, in quanto ancor oggi negli elenchi delle vulnerabilità più sfruttate se ne trovano alcune venute alla luce del sole diverse anni fa. In questo caso, data la diffusione di Log4j, i rischi non possono che essere significativamente amplificati.

Ad esempio una prospettiva tanto infausta quanto verosimile è quella rappresentata dalla possibilità dei cosiddetti "supply-chain attack", ovvero quelle azioni dove si punta ad un bersaglio cercando di sfruttare come punti di ingresso gli anelli più deboli della sua catena di fornitori. In questo caso anche un'azienda di grandi dimensioni, con adeguate capacità di risposta a minacce informatiche e vulnerabilità, potrebbe cadere vittima di hacker e criminali che riescono a compromettere la rete di un suo fornitore meno scrupoloso. Anche in questo caso non si tratterebbe di una novità: basta citare come esempio principe il caso del worm Stuxnet.

La vicenda di Log4Shell, e prima ancora anche quella di HeartBleed, rappresenta una delle peculiarità più paradossali di Internet oggi: una rete che è diventata una parte fondamentale del funzionamento quotidiano di tutto il mondo e che si poggia su progetti open source gestiti in alcuni casi su base del tutto volontaria. Progetti che molto di frequente sono nati come semplicemente come strumenti personali ma che poi, come è il caso attuale, sono stati largamente utilizzati anche da grandi realtà commerciali senza che vengano da queste partecipati né finanziariamente, né dal punto di vista di sforzi di sviluppo e mantenimento.

Jen Easterly, direttrice della CISA statunitense, ha descritto Log4Shell come una delle più serie vulnerabilità mai viste nella sua carriera, se non la più grave. Il sospetto è che Homer Simpson possa avere ragione: "fino ad ora!".