Protección contra la vulnerabilidad de Apache Log4j2 (CVE-2021-44228)

F5

Nota: Desde la publicación inicial de este blog, F5 ha revisado las vulnerabilidades CVE posteriores (CVE-2021-45046, CVE-2021-4104 y CVE-2021-45105) y ha determinado que los mecanismos de protección descritos a continuación también son eficaces frente a estas vulnerabilidades.

Desde que se dio a conocer el 9 de diciembre, los equipos de seguridad de todo el mundo han estado trabajando sin descanso para comprender la amenaza que plantea la vulnerabilidad de seguridad de Apache Log4j2 (CVE-2021-44228), determinar su grado de exposición y aplicar medidas de mitigación. Mucho se ha escrito sobre esta vulnerabilidad, también conocida como Log4Shell, pero, en pocas palabras, se trata de una vulnerabilidad de ejecución remota de código, lo que significa que los atacantes pueden enviar datos específicos a una aplicación vulnerable para desencadenar una serie de acciones que acaben comprometiendo la aplicación objetivo. Los atacantes pueden aprovecharla de diversas formas, por ejemplo, para instalar un minero de criptomonedas o extraer datos confidenciales de la aplicación.

Las vulnerabilidades, su explotación, las medidas de mitigación y la corrección siempre generan trastornos, y la misión de F5 es hacer todo lo posible para ofrecer conocimientos especializados y asistencia a sus clientes. Los equipos de F5 han estado trabajando activamente en herramientas y directrices para ayudar a los ya sobrecargados equipos de aplicaciones y seguridad a mitigar esta importante amenaza para el sector.

Hemos evaluado nuestros productos y servicios de F5 y, según la información disponible actualmente, hemos determinado que los productos BIG-IP, NGINX, Silverline, Volterra y Threat Stack no son vulnerables a estos problemas. En el caso de F5 Managed Services, nos hemos puesto en contacto con los clientes a través de nuestros canales de comunicación habituales. Nuestros avisos de seguridad en AskF5 siempre contendrán la información más actualizada sobre nuestros productos y las medidas de mitigación de las vulnerabilidades de Log4j:

• K19026212: Vulnerabilidad de ejecución remota de código en Apache Log4j2 CVE-2021-44228
• K24554520: Vulnerabilidad de ejecución remota de código en Apache Log4j CVE-2021-4104
• K32171392: Vulnerabilidad CVE-2021-45046 de Apache Log4j2
• K34162192: Vulnerabilidad de denegación de servicio CVE-2021-45105 de Apache Log4j2

Aprovechar los productos y servicios de F5 para mitigar las vulnerabilidades de Log4j es una forma rápida y eficaz de reducir el riesgo que estas CVE suponen para su entorno. Como solución a largo plazo, instamos a nuestros clientes y a sus equipos de desarrollo a actualizar o eliminar de las aplicaciones (si ya no son necesarias) todas las bibliotecas de Log4j vulnerables.

A continuación, encontrará información más detallada sobre cómo ofrecemos asistencia mediante soluciones de seguridad integrales y ágiles en toda nuestra cartera de productos y servicios.

Equipo de Respuesta ante Incidentes de Seguridad de F5 (SIRT)

Si está sufriendo un ataque o le preocupa estar expuesto a una vulnerabilidad, póngase en contacto con el soporte de F5 y solicite que el caso se derive al F5 SIRT. Este equipo está disponible las 24 horas del día, los 7 días de la semana, para ofrecer orientación sobre todo tipo de cuestiones, desde la aplicación de parches al software y los sistemas de F5 hasta la configuración y la asistencia con iRule para mitigar ataques o la exposición a vulnerabilidades.

BIG-IP Advanced WAF

F5 ha publicado un conjunto de firmas para BIG-IP Advanced WAF y ASM que bloquean los vectores de ataque conocidos de las vulnerabilidades de Log4j. En el momento de redactar este texto, hay disponibles un total de nueve firmas del equipo de investigación de amenazas de F5, incluidas dos que estuvieron disponibles pocas horas después de la publicación inicial del CVE. Actualizamos continuamente las firmas para mejorar la protección frente a los intentos de elusión, así que asegúrese de disponer de la versión más reciente del paquete de actualización de firmas de ataque (ASU).

Puede obtener más información sobre cómo mitigar estas vulnerabilidades mediante su política actual de BIG-IP Advanced WAF (o ASM) en este aviso de seguridad.

iRule de BIG-IP

Para los clientes de F5 BIG-IP que no utilicen las funcionalidades de Advanced WAF o ASM, se puede aplicar una iRule de F5 a las aplicaciones para detectar, registrar y bloquear el tráfico malicioso dirigido a vulnerabilidades CVE específicas. Nuestro aviso de seguridad inicial contiene más información y directrices para implementar la iRule.

NGINX App Protect

Los clientes de NGINX App Protect reciben actualizaciones de firmas al mismo tiempo que los clientes de BIG-IP Advanced WAF, lo que garantiza una seguridad uniforme de las aplicaciones independientemente de la plataforma de F5. Para mitigar las vulnerabilidades relacionadas mediante la configuración de NGINX App Protect, asegúrese de que las firmas estén actualizadas, consulte este documento y compruebe que el tipo de ataque «Server Side Code Injection» esté habilitado en su política de WAF. Puede encontrar más contexto en una entrada de blog publicada recientemente.

WAF de Volterra

Nuestra plataforma Volterra WAF, al igual que NGINX App Protect y BIG-IP Advanced WAF, recibió firmas actualizadas para reducir aún más cualquier exposición relacionada con las vulnerabilidades de Log4j. Estas firmas se incluyen ahora en la política de WAF predeterminada y nuestros clientes de Volterra WAF no tienen que realizar ninguna acción adicional para mitigar esta amenaza.

F5 Silverline

El equipo de F5 Silverline ha implementado las medidas de mitigación necesarias para garantizar que las aplicaciones de los clientes estén protegidas frente a las vulnerabilidades pertinentes. El SOC de F5 Silverline supervisa continuamente las amenazas y aplicará las medidas de mitigación y protección necesarias en coordinación con nuestro equipo de investigación de amenazas y nuestros clientes. El equipo de Silverline actúa como una extensión de su propio equipo de AppSec y trabaja en su nombre las 24 horas del día, los 7 días de la semana.

Si tiene alguna pregunta específica sobre su configuración de Silverline, póngase en contacto con el SOC en: support@f5silverline.com y, para obtener más información sobre los servicios de Silverline, visite: https://www.f5.com/products/security/silverline

Threat Stack

F5 ha adquirido recientemente Threat Stack y valora las importantes capacidades de inspección, detección y generación de informes que ofrece el servicio Threat Stack. Este servicio ya incluye varias reglas de detección que pueden indicar que Log4j se ha visto comprometido, como el inicio de servicios como usuario raíz, la ejecución de servicios desde un intérprete de comandos y los intentos de escalada de privilegios. Encontrará más información en esta entrada del blog.

Si le interesan los servicios de Threat Stack para ayudarle a proteger sus aplicaciones frente a las amenazas actuales de Log4j, así como para detectar actividades inusuales, garantizar el cumplimiento normativo y obtener información exhaustiva sobre las aplicaciones, póngase en contacto con su representante comercial de F5 o visite: https://www.threatstack.com

Shape Security

La mayoría de los intentos de explotar cualquier vulnerabilidad comienzan con un reconocimiento automatizado. Teniendo esto en cuenta, Bot Defense de Shape Security, basado en IA, constituye una primera línea de defensa importante para eliminar esos análisis automatizados y dificultar que los atacantes descubran esta vulnerabilidad en sus aplicaciones web expuestas a Internet. Shape AI Cloud permite adaptarse casi en tiempo real a los ataques automatizados mediante bots para seguir el ritmo de las tácticas en constante evolución de los atacantes que operan redes de bots. Si desea obtener más información sobre Shape, visite: https://www.f5.com/products/security/shape-security

Mantenerse al día

Consulte nuestros avisos de seguridad sobre CVE-2021-44228, CVE-2021-4104 y CVE-2021-45046 para obtener la información más reciente sobre las medidas de mitigación de F5. Para obtener más contexto, los clientes pueden consultar los siguientes recursos:

Blogs adicionales de F5

• Cómo mitigar Log4j hoy y evitar futuros ataques por Catherine Newcomb y Navpreet Gill
• Lecciones aprendidas de Log4j: no se precipite con la remediación por Lori MacVittie

F5 Labs

• Explicación de la vulnerabilidad generalizada de Log4j
• Log4Shell: retomando los principios de seguridad de siempre tras su aparición

DevCentral

• Programa en directo DC Connects sobre la vulnerabilidad de Log4j2
• Mitigación de Log4j (CVE-2021-44228) mediante firmas personalizadas de inspección de protocolos de AFM
• Proteja su clúster de Kubernetes frente a la vulnerabilidad de Apache Log4j2 mediante BIG-IP

NGINX

• Mitigación de la vulnerabilidad Log4j con NGINX

Threat Stack

• Detección de amenazas de alta precisión para la vulnerabilidad de Log4j

Seguiremos proporcionando a nuestros clientes la información más reciente sobre las vulnerabilidades relacionadas y añadiremos enlaces a los recursos anteriores. Además, los clientes pueden suscribirse para recibir notificaciones sobre lanzamientos de software, alertas de seguridad y otras actualizaciones importantes.

_______

Por Scott Altman, director sénior de Arquitectos de Soluciones de Seguridad Global de F5

Sobre el autor

F5

Más artículos de F5