La libreria monitoraggio log4j è utilizzata in molte applicazioni Java. Questi includono i server Web esposti su Internet/intranet come il servizio Tomcat, utilizzato anche in alcuni moduli della nostre soluzioni.
Poiché la vulnerabilità può essere sfruttata per attacchi di scansione porte su larga scala, segnalati già in atto, CSIRT-Italia ha diramato un’allerta dichiarando un livello di rischio di tipo GRAVE/ROSSO (77,36/100) ovvero “minaccia estremamente critica”.
Raccomandiamo pertanto ai nostri clienti di verificare con urgenza le impostazioni di sicurezza dei propri server web ed in particolare di attuare la prima misura consigliata dal CSRIT (vedi link allegato):
Vulnerabilità Log4Shell CVE-2021-44228 aggiornamento (BL02/211212/CSIRT-ITA)
“In linea con le dichiarazioni del vendor, si consiglia di implementare tempestivamente le azioni di mitigazione fornite da Apache seguendo le indicazioni del bollettino di sicurezza disponibile nella sezione Riferimenti.”
I nostri team di sviluppo IFS e Partners hanno verificato gli impatti sulle nostre soluzioni software e non risultano prodotti specificamente impattati dalla vulnerabilità.
In ogni caso le librerie oggetto di vulnerabilità saranno via via sostituite con versioni aggiornate ed affidabili.
Per avere ulteriori dettagli sulla minaccia e conoscere le misure aggiuntive che possono essere adottate per ridurre i rischi derivanti dalla configurazione del modulo log4j sui vostri server potete contattarci a supporto@ifs-italia.it o rivolgervi al vostro TAM.