🧠 Detalles técnicos

La vulnerabilidad surge del manejo de Log4j de las búsquedas JNDI en cadenas registradas. Un atacante puede incrustar un recurso JNDI malicioso en un mensaje registrado (por ejemplo, LDAP, DNS), como:

Log4j:

1. Analizar la búsqueda JNDI de la entrada
2. Realizar una búsqueda remota al servidor controlado por el atacante
3. Cargar código Java malicioso como parte del proceso de búsqueda
4. Ejecutar ese código dentro del contexto de la aplicación vulnerable

Esto permite a un atacante lograr una Ejecución Remota de Código (RCE) completa en los servicios afectados.

📊 Gravedad y CVSS

Debido a que Log4j se utiliza en innumerables bibliotecas y aplicaciones, cualquier sistema que registre datos no confiables podría ser vulnerable.

📦 Versiones afectadas

Las siguientes versiones de Log4j 2 son vulnerables:

Además, algunas configuraciones de 2.15.0 aún eran explotables, por lo que la versión 2.16.0 y posteriores son la base segura.

🛠 Mitigación y correcciones

✅ Versiones oficiales corregidas

Actualice a versiones de Log4j 2:

Parches posteriores mejoran aún más la seguridad (por ejemplo, 2.17.2, 2.19.0, etc.).

🧱 Mitigaciones temporales (si no puede parchear de inmediato)

Si la actualización inmediata no es posible, puede:

• Deshabilitar las búsquedas JNDI en la configuración de Log4j
• Establecer:

• Eliminar la clase JndiLookup del classpath:

Estos pasos ayudan a reducir la exposición hasta que pueda actualizar.

🔥 Explotación e impacto

Esta vulnerabilidad es extremadamente fácil de explotar. Un atacante solo necesita enviar una cadena diseñada (por ejemplo, a través de encabezados HTTP, parámetros de formulario, mensajes de chat, campos de base de datos) que sea registrada por la aplicación:

Una vez registrada, la aplicación realizará una búsqueda remota y puede ser forzada a ejecutar código Java controlado por el atacante.

🌍 Impacto en el mundo real

Log4Shell tuvo un impacto global masivo:

• Innumerables servicios públicos quedaron expuestos inmediatamente
• Proveedores de nube, servidores de juegos, aplicaciones empresariales, IoT, servicios web, API y más se vieron afectados
• Comunidades enteras de seguridad se movilizaron para detectar y parchear sistemas vulnerables
• La explotación fue generalizada, automatizada y rápida

Esta es una de las vulnerabilidades más significativas en décadas.

🧪 Detección

Puede detectar sistemas vulnerables mediante:

• Escaneando registros en busca de patrones JNDI sospechosos (${jndi:)
• Usando escáneres de vulnerabilidades que verifican versiones de Log4j
• Monitoreando el tráfico entrante en busca de intentos de explotación
• Verificando el contenido del classpath para soporte de búsqueda JNDI

📌 Resumen

⚠️ Advertencia final

Si su aplicación o cualquier biblioteca que utilice depende de Log4j 2.x, actualice inmediatamente a una versión parcheada (≥ 2.17.1) y verifique que las búsquedas JNDI estén deshabilitadas o eliminadas donde sea posible.