Un nuovo exploit chiamato “Log4Shell” sta creando grossi problemi ai team di sicurezza delle grandi aziende tecnologiche. Se sfruttata, la vulnerabilità consente agli hacker di eseguire codice dannoso su server vulnerabili e può colpire piattaforme come iCloud e Steam.
Come mostrato nel dettaglio dalla società di sicurezza LunaSec, la vulnerabilità è stata trovata per la prima volta in log4j, una libreria open source utilizzata da più app e siti Web per la registrazione, che è il processo di conservazione di un elenco delle attività eseguite al fine di rivederle in seguito per correggere bug o altri errori.
Secondo il ricercatore di sicurezza Marcus Hutchins, “Log4Shell” potrebbe quindi interessare milioni di app in tutto il mondo, poiché la libreria log4j è ampiamente utilizzata dagli sviluppatori. Per sfruttare la vulnerabilità, gli hacker non devono far altro che salvare una stringa speciale con caratteri specifici nel registro. Poiché le applicazioni registrano regolarmente un’ampia gamma di eventi, come i messaggi inviati e ricevuti dagli utenti o i dettagli degli errori di sistema, la vulnerabilità è facile da sfruttare e può essere attivata in vari modi.
Ad esempio, l’exploit Log4Shell è stato recentemente visto sui server Minecraft in cui gli hacker hanno utilizzato la vulnerabilità tramite messaggi di chat. LunaSec afferma che anche iCloud di Apple è vulnerabile a questo exploit. Gli aggressori possono persino attivare il codice dannoso tramite i codici QR, il che rende l’exploit ancora più pericoloso.
Apple e altre società non hanno commentato la vicenda, ma stanno sicuramente già lavorando per rendere inefficace l’exploit.