Incontables millones de servidores lo tienen instalado, y los expertos dijeron que las consecuencias no se conocerían hasta dentro de varios días.
Expertos en seguridad de todo el mundo se apresuraron el 10 de diciembre para corregir una de las peores vulnerabilidades informáticas descubiertas en años, una falla crítica en el código de fuente abierta ampliamente utilizado en la industria y el gobierno en servicios en la nube y software empresarial.
“Me costaría mucho pensar en una empresa que no esté en riesgo”, dijo Joe Sullivan, director de seguridad de Cloudflare, cuya infraestructura en línea protege los sitios web de actores maliciosos.
Incontables millones de servidores lo tienen instalado, y los expertos dijeron que las consecuencias no se conocerían hasta dentro de varios días.
El equipo de respuesta a emergencias informáticas de Nueva Zelanda fue uno de los primeros en informar que la falla en una utilidad en lenguaje Java para servidores Apache utilizada para registrar la actividad del usuario estaba siendo “explotada activamente en la naturaleza” pocas horas después de que se informara públicamente el 9 de diciembre y un parche lanzado.
La vulnerabilidad, denominada Log4Shell, fue calificada con 10 en una escala de uno a 10, la peor posible. Cualquiera con el exploit puede obtener acceso completo a una máquina sin parchear.
“Internet está en llamas en este momento. La gente está luchando para parchear y hay script kiddies y todo tipo de gente luchando para explotarlo ”, dijo Adam Meyers, vicepresidente senior de inteligencia de la firma de ciberseguridad Crowdstrike. “En las últimas 12 horas ha sido completamente armado”. La vulnerabilidad en el módulo Apache Software Foundation fue descubierta el 24 de noviembre por el gigante tecnológico chino Alibaba, dijo la fundación. El Sr. Meyers esperaba que los equipos de respuesta a emergencias informáticas tuvieran un fin de semana ajetreado tratando de identificar todas las máquinas afectadas.
La búsqueda se complica por el hecho de que el software afectado puede estar en programas proporcionados por terceros.
La explotación de la falla aparentemente se descubrió por primera vez en Minecraft, un juego en línea muy popular entre los niños y propiedad de Microsoft.
Meyers y el experto en seguridad Marcus Hutchins dijeron que los usuarios de Minecraft ya lo habían estado usando para ejecutar programas en las computadoras de otros usuarios al pegar un mensaje corto en un cuadro de chat.
Microsoft dijo que había emitido una actualización de software para los usuarios de Minecraft y que “los clientes que aplican la solución están protegidos”. Los investigadores informaron haber encontrado evidencia de que la vulnerabilidad podría ser explotada en servidores administrados por empresas como Apple, Amazon, Twitter y Cloudflare.
El Sr. Sullivan de Cloudflare dijo que no hay indicios de que los servidores de su empresa se hayan visto comprometidos. Apple, Amazon y Twitter no respondieron de inmediato a las solicitudes de comentarios.
.