La Unidad de Seguridad TIC de la Subdirección de Tecnologías de la Información y Comunicaciones, siguiendo las indicaciones marcadas por el Equipo de Respuesta a Incidentes del Centro Criptológico Nacional, CCN-CERT, informa del estado en el que se encuentra la vulnerabilidad que afecta a la librería Apache Log4j 2.
Como se ha alertado durante los últimos días, se ha hecho pública una vulnerabilidad que afecta a la librería de registro de Java Apache Log4j 2, herramienta desarrollada por Apache Foundation que ayuda a los desarrolladores de software a escribir mensajes de registro, cuyo propósito es dejar constancia de una determinada transacción en tiempo de ejecución, además, Log4j permite filtrar los mensajes en función de su importancia.
La vulnerabilidad, a la que se le ha asignado el CVE-2021-44228 y se ha denominado Log4Shell, es del tipo de ejecución de código remoto no autenticado, permitiendo a un atacante, tomar el control del equipo mediante el manejo adecuado de la entrada al registro de logs.
Debido a la gravedad de esta vulnerabilidad, la Unidad de Seguridad TIC de la Subdirección de Tecnologías de la Información y Comunicaciones ruega encarecidamente que se sea especialmente diligente en su resolución. Llamamos vuestra atención sobre la urgencia de aplicar las recomendaciones indicadas y la adopción de medidas para hacer frente a la vulnerabilidad.
La vulnerabilidad afecta a las siguientes versiones:
La vulnerabilidad puede ser explotada fácilmente en múltiples aplicaciones y servidores, una recopilación de aplicaciones comerciales afectadas es la siguiente https://github.com/NCSC-NL/log4shell/blob/main/software/README.md
El exploit puede ser usado en campos propios de las aplicaciones de cada organismo usando los parámetros de comunicaciones o los datos de los formularios de la aplicación.
Se debe prestar especial atención a los siguientes parámetros de entrada de las aplicaciones con conexión a Internet:
Recomendaciones (Actualizadas 27/01/2022)
Paso 1. Para revisar si se está usando la versión vulnerable de log4j:
gci 'C:\' -rec -force -include *.jar -ea 0 | foreach {select-string "JndiLookup.class" $_} | select -exp Pathfind / 2>/dev/null -regex ".*.jar" -type f | xargs -I{} grep JndiLookup.class "{}"Para otras formas alternativas de localización, consulte las siguientes indicaciones que ofrece CCN-CERT en su artículo “CCN-CERT AL 09/21 Actualización vulnerabilidad en Apache Log4j 2 (14/12/2021)”
| Si estos comandos arrojan resultados, se debe comprobar si la versión es vulnerable. |
|---|
Paso 2. Independientemente de lo indicado en el punto anterior, se debe verificar que el equipo está protegido con el EPP corporativo, dispone de las últimas firmas publicadas y tiene el módulo IPS instalado y habilitado.
| Recordamos que el producto está disponible tanto para Windows como para Linux |
|---|
Paso 3. Es altamente recomendable instalar el EDR de Crowdstrike, cuyo procedimiento se encuentra a continuación:
EU-1
ts01-lanner-lion.cloudsink.net
lfodown01-lanner-lion.cloudsink.net
En Servidores: Descargar el siguiente instalador y seguir las instrucciones que se indican en el fichero Readme-Server.txt
| Instalador Crowdstrike_Servidores.7z |
|---|
En PCs. Descargar el siguiente instalador y seguir las instrucciones que se indican en el fichero Readme-PC.txt
| Instalador Crowdstrike_PCs.7z |
|---|
| Version Linux | Ejecutable sensor EDR |
|---|---|
| Debian | |
| RHEL_CentOS_Oracle6 | |
| RHEL_CentOS_Oracle7 | |
| RHEL_CentOS_Oracle8 | |
| Ubuntu |
1º. Solución a la vulnerabilidad:
Apache ha lanzado la versión Log4j-2.17.0 para abordar esta vulnerabilidad. Para más información sobre cómo instalar las actualizaciones y las distintas extensiones se dispone del siguiente enlace:
2º. Workaround de la vulnerabilidad:
En caso de no poder efectuar la actualización a las versiones indicadas anteriormente, debe realizar los siguientes pasos:
log4j2.formatMsgNoLookups = true
zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class
com.sun.jndi.rmi.object.trustURLCodebase = false
com.sun.jndi.cosnaming.object.trustURLCodebase = false
3º. Incluir IOCs (Indicadores de Compromiso) en proxies y firewalls provinciales
La lista de IOC se está ampliando según avanzan las investigaciones. Les sugerimos varios enlaces para actualizar listados de IPs que realizan escaneos activos e intentos de explotación de la vulnerabilidad:
Actualmente desde la USTIC estamos trabajando en un sistema de implementación automática de IOC para el ámbito de la seguridad corporativa en distintas líneas de servicios de seguridad (proxies, firewalls, EDR,...)
Los proxies SQUID son los primeros elementos de seguridad en los que se están pilotando esta solución, mediante una servicio de descarga diaria de los IOC del repositorio de Andalucia-CERT e integración en listas de denegación de Ip y dominios.
Este repositorio de Andalucia-CERT , a su vez, proviene de los análisis de la cibertinteligencia de la herramienta REYES (CCN-CERT).
Los IOC que recomienda CCN-CERT , que corresponden a indicadores de explotación de la vulnerabilidad, ya están incluidos en REYES, por lo que se recomienda que se traten de manera automática a través de la ejecución del script preparado para tal efecto.
El script de configuración para la descarga e incorporación de los IOCs automática es el siguiente: ScriptIOCautomatic.sh . En este script hay que sustituir <password_ftp> por la clave. Contactar con ustic.stic.sspa@juntadeandalucia.es para el envío de dichas credenciales.
Para cualquier otra duda o consulta al respecto, puede ponerse en contacto con ustic.stic.sspa@juntadeandalucia.es. Les seguiremos informando.
Gracias por su atención.
Subdirección de Tecnologías de la Información y Comunicaciones
Servicio Andaluz de Salud