Venerdì 10 dicembre è stata rilevata una vulnerabilità all’interno di Apache Log4j, “CVE-2021-44228”, un framework di registrazione creato da Apache, molto utilizzato su Internet, che proprio per questo motivo mette potenzialmente a rischio molti servizi.
Il team di sicurezza di N-able, immediatamente dopo l’identificazione della vulnerabilità, ha condotto una valutazione completa e un’analisi approfondita del proprio codice. senza però riscontrare prove di sfruttamento. Si deduce quindi che non ci siano vulnerabilità nei prodotti che elencheremo di seguito, in quanto essi non utilizzano una versione vulnerabile di Apache Log4j:
- N-able N-central (anche se inizialmente si riteneva avesse utilizzato una versione vulnerabile, è giunta la rettifica in quanto N-central utilizza solo il componente Log4j-API e non il Log4j-core
- N-able Backup;
- N-able Mail Assure;
- N-able MSP Manager;
- N-able Passportal;
- N-able SpamExperts;
- N-able SSO;
- N-able Take Control.
Per quanto riguarda, invece, N-able RMM, i team di sicurezza hanno valutato tutti i rischi e distribuito delle patch per qualsiasi componente vulnerabile, sin dal 10 dicembre, oltre a lavorare assiduamente per aggiornare i clienti su qualsiasi rischio futuro. Ad oggi, anche se non sono stati trovati exploit attivi di questa vulnerabilità, essa rimane una priorità assoluta per tutti i team di sicurezza. Proprio per questo è altamente sconsigliato mettere offlline i servizi N-able.
Suggerimenti per contrastare la vulnerabilità:
- Controllate quali componenti della infrastruttura usano log4j2;
- Installate la patch 2.16.0 ovunque sia possibile;
- In alternativa disabilitate JDNI e rimuovete il supporto per il Message lookups;
- Salvate le evidenze digitali dei sistemi prima di installare patch, riavviare o spegnere;
- Salvate memoria e dischi delle macchine potenzialmente affette;
- Utilizzare soluzioni Cisco, Citrix, VMware;
- Seguire le indicazioni di ogni vendor interessato per mitigazione, patch o aggiornamento;
- Segui le indicazioni che Apache ha rilasciato riguardo le tecniche di mitigazione, ove l’installazione di patch non sia possibile;
- Identificate le applicazioni critiche e tenetevi aggiornati con i rispettivi vendor.
- Se non potete installare patch seguite le indicazioni qui riportate.