Flagello · 9 dicembre 2021

Il grande flagello di Log4Shell

Cronaca

Il 9 dicembre 2021 fu pubblicato un exploit per una falla di Apache Log4j 2: bastava far scrivere in un log una stringa come ${jndi:ldap://…} perché il server andasse a scaricare ed eseguire codice dell'attaccante. Nel giro di ore cominciarono scansioni e attacchi su scala mondiale, dai server di Minecraft ai prodotti aziendali di decine di fornitori. Il direttore della CISA lo definì uno dei difetti più gravi che avesse mai visto. Seguirono settimane di patch a ripetizione e di ricerche disperate del file JAR nei luoghi più impensati.

Lezione appresa

Insegnò che una libreria minuscola, mantenuta da pochi volontari, può reggere mezzo Internet, e rese popolari l'inventario delle dipendenze (SBOM) e il finanziamento dell'open source critico.

Preghiera di riparazione

O Log4Shell, che entravi da ogni campo di testo e chiamavi casa via LDAP, fa' che i nostri log si limitino a registrare e che i volontari dell'open source abbiano finalmente qualcuno che li paghi. Amen.

Come si ricorda

Si ricorda tenendo un inventario delle dipendenze, anche quelle transitive, bloccando le connessioni in uscita che i server non devono fare e sostenendo i progetti open source da cui si dipende.