Esta vulnerabilidade foi encontrada numa biblioteca de software utilizada por muitas empresas em aplicações web.
Uma falha de segurança na biblioteca de software Log4j está a deixar os especialistas preocupados. A ferramenta é utilizada em diversas empresas por todo o mundo e a vulnerabilidade pode facultar acesso a áreas sensíveis.

O que é o Log4j

A Log4j é uma biblioteca do Apache que ajuda os desenvolvedores de software a fazer “logging”, um processo que permite guardar registos de interações, envio de informações, processamento de dados e resultados de uma determinada ação.
O “logging” permite guardar esse registo para analisar o comportamento de uma aplicação ou acompanhar as mudanças feitas durante o desenvolvimento do programa.
A Log4j tem uma série de funcionalidades para esse fim e é usada em aplicações Java, muito populares por todo o mundo.

Como ocorre a falha

A falha na Log4j permite que um hacker insira código ativo no processo de registo. Esse código, diz para o servidor que armazena o software executar um comando que o hacker deseja, que pode variar de acordo com as intenções de quem ataca.
A Cloudflare, um fornecedor de serviços de internet, exemplificou a falha com um sistema de faturas. Uma aplicação pode registar um log quando o primeiro nome de um cliente não for encontrado.
Com esta informação, um hacker pode fazer um pedido com um primeiro nome que possui o código que ativa a vulnerabilidade e, através de uma base de dados, executar um comando que lhe facultará acesso aos sistemas da empresa.
A vulnerabilidade é crítica, o que significa que a falha pode dar controle de uma máquina ou um servidor ao hacker.
O problema foi revelado publicamente por um investigador de segurança da empresa chinesa de tecnologia e Ecommerce Alibaba Group, segundo um comunicado da Apache, organização sem fins lucrativos que mantém a biblioteca Log4j.
“A vulnerabilidade de execução de código remoto da Apache Log4j é a maior e mais crítica da última década”, disse à Reuters Amit Yoran, presidente-executivo da Tenable, uma empresa de cibersegurança e fundador da Equipa de emergências de cibersegurança dos Estados Unidos.

O governo dos EUA enviou na sexta-feira um alerta ao setor privado sobre a falha e o risco que ela representa, de acordo com a agência de notícias Reuters.

Juan Andres Guerrero-Saade, investigador de cibersegurança da empresa SentinelOne, chamou o problema, “uma daquelas vulnerabilidades dignas de pesadelo e praticamente não há forma de se preparar para ela”.

Correção disponível

Até agora, não foi reportado nenhum grande incidente publicamente como resultado da vulnerabilidade.
Foi divulgada pela Apache uma correção para a vulnerabilidade, mas os especialistas em segurança afirmam que vai ser necessário tempo para localizar o programa defeituoso e implementar as soluções, já que a correção não é aplicada de forma automática.
O que muitos dos especialistas temem agora é que a falha possa ser usada para transmissão de malware que ou destrua dados ou os sequestre. Os investigadores de segurança estão a assistir a um crescimento alarmante na atividade de grupos de hackers que estão a tentar aproveitar-se do problema para espionagem, segundo a Reuters.