Tutoriales y Manuales
Entradas Mensuales
-
►
2024
(Total:
1090
)
- ► septiembre (Total: 50 )
-
►
2023
(Total:
710
)
- ► septiembre (Total: 65 )
-
▼
2022
(Total:
967
)
-
▼
diciembre
(Total:
80
)
- La mejor cámara de un teléfono es la del Google Pi...
- Plataforma rusa de droga en la darknet es hackeada...
- Los submarinos de la Marina de Reino Unido usaban ...
- El Bloc de Notas en Windows 11 tendrá pestañas
- Windows 7 arranca en 28 minutos en un Pentium a 5 ...
- Vulnerabilidad crítica SMB (RCE sin autenticar) en...
- KDE Plasma
- GB Inceptor es una capturadora que funciona en uni...
- Los HDD alcanzarán el precio de 1 céntimo por GB a...
- Xiaomi Redmi Note 12: lanzamiento en Europa inminente
- Espacio reservado en un una unidad SSD (el sobreap...
- Francia multa a Microsoft con 60 millones $ por us...
- George Hotz, el hacker de la PS3 que iba a mejorar...
- TikTok reconoce que sus empleados espiaron a perio...
- El FBI recomienda usar un bloqueador de anuncios
- LastPass reconoce que robaron las contraseñas cifr...
- Google preocupada por su buscador ante la amenaza ...
- Diferencias entre PCIe Gen 3 y PCIe Gen 4: velocid...
- Mastodon ha ganado más de 2 millones de nuevos usu...
- ChatGPT no será gratis para siempre: OpenAI prevé ...
- Disponible nueva versión Tails: 5.8, la distro bas...
- En España, en caso de emergencia, todos los coches...
- Europa quiere que las baterías de los teléfonos se...
- Google empieza implementar el cifrado de extremo a...
- Una Roomba grabó a una mujer en el váter y las imá...
- Google trabaja en una IA para que puedas entender ...
- Epic Games multada por la privacidad de los menore...
- GitHub presenta escaneo gratuito de secretos para ...
- Grandes empresas tecnológicas (Meta, Microsoft, AW...
- Certificaciones Linux
- Dispositivos PLC: cómo funcionan y consejos de uso
- El Instituto Nacional de Estándares y Tecnología (...
- China prohíbe el uso de IA para la creación de imá...
- John Carmack abandona Meta tras 10 años al frente ...
- Twitter prohíbe promocionar cuentas en otras redes...
- Twitter suspende la cuenta de Mastodon y de decena...
- Un año después el 72% de las organizaciones siguen...
- El grupo de ransomware PLAY hackea la cadena de el...
- Dell presenta un portátil modular: Concept Luna, q...
- OSV-Scanner: un escáner de vulnerabilidades de Google
- El Senado de EE.UU. prohíbe el uso de TikTok en di...
- Microsoft prohíbe la minería de criptomonedas en s...
- Controladores de Windows maliciosos firmados por M...
- Top de herramientas y gadgets para hardware hacking
- Elon Muk suspende la cuenta de seguimiento de su a...
- Passkey en Google Chrome: el principio del fin de ...
- Baterías de sodio y azufre superan 4x a las de ion...
- Aumentan los ataques de ransomware en el sector sa...
- Un malware utiliza GitHub como servidor de Comando...
- Uber sufre una nueva filtración de datos
- ¿Qué son los ataque Side-channel (ataque de canal ...
- Twitter Blue será un 30% más caro desde iOs
- El scroll continuo llega a los resultados del busc...
- La historia detrás del botón «Me Gusta» de Facebook
- Google Drive, al igual que Google Chrome, también ...
- Apple M1 vs Apple M2
- Disponible el navegador Tor 12.0
- Encender un PC remotamente con Wake-on-Lan (WoL)
- Chrome presenta el modo ahorro de energía y memori...
- Apple añade cifrado de extremo a extremo a las cop...
- Lo más buscado en Google España en 2022
- Telegram ya funciona sin número ni tarjeta SIM
- Reparación de inicio en Windows 11
- Unidad SSD recibe la certificación de la NASA
- La FTC demanda a Microsoft y bloquea la adquisició...
- Ex-empleados de Twitter demandarán a la empresa
- ¿Es seguro y anónimo usar el navegador Tor?
- Investigan Neuralink (de Elon Musk) por maltrato a...
- Anuncios maliciosos en Google redirigen a sitios f...
- ¿Qué es y para que sirve ChatGPT?
- Disponible distro hacking ético: Kali Linux 2022.4
- Nivel RAID 1 en un NAS
- Herramienta de IA muestra qué aspecto tendrías en ...
- El sitio web del Vaticano recibe ataques proRusos ...
- Encuentran nuevas app con el troyano bancario Shar...
- Elon Musk espera poder implantar su ordenador Neur...
- Gorilla Glass Victus 2 para teléfonos móviles quie...
- Google vincula a una empresa española vendiendo sp...
- LastPass confirma un nuevo incidente de seguridad ...
- Apple amenaza con retirar la aplicación de Twitter...
- ► septiembre (Total: 72 )
-
▼
diciembre
(Total:
80
)
-
►
2021
(Total:
730
)
- ► septiembre (Total: 56 )
-
►
2020
(Total:
212
)
- ► septiembre (Total: 21 )
-
►
2019
(Total:
102
)
- ► septiembre (Total: 14 )
-
►
2017
(Total:
231
)
- ► septiembre (Total: 16 )
-
►
2016
(Total:
266
)
- ► septiembre (Total: 38 )
-
►
2015
(Total:
445
)
- ► septiembre (Total: 47 )
-
►
2014
(Total:
185
)
- ► septiembre (Total: 18 )
-
►
2013
(Total:
100
)
- ► septiembre (Total: 3 )
-
►
2011
(Total:
7
)
- ► septiembre (Total: 1 )
Blogroll
Etiquetas
Entradas populares
-
Después de ver qué es una vCPU y la diferencia entre núcleos (cores) e hilos en los procesadores, pasamos a explicar toda la nomenclatura d...
-
iperf3 es la última versión del popular programa iperf para medir el ancho de banda entre dos o más equipos en red local o Internet . Es...
-
A finales del mes de agosto hablábamos de que los legisladores estadounidense habían solicitado la investigación de TP-Link . Y así, ya ten...
Un año después el 72% de las organizaciones siguen siendo vulnerables a Log4j
Esta semana marca el primer aniversario del descubrimiento de la vulnerabilidad Log4j/Log4Shell que afecta a la biblioteca de registro de Java. Y es que a pesar de ya haber pasado un año desde el incidente el número de descargas de versiones vulnerables de Log4j sigue siendo elevado, pues se ha calculado alrededor del 30-40% de todas las descargas son para la versión expuesta.
Como se informó recientemente, muchas organizaciones siguen siendo vulnerables a pesar de que las versiones parcheadas pronto estuvieron disponibles.
Para quienes desconocen de la vulnerabilidad, deben saber que es notable porque el ataque se puede llevar a cabo en aplicaciones Java que registran valores obtenidos de fuentes externas, por ejemplo, al mostrar valores problemáticos en mensajes de error.
La vulnerabilidad de Log4j CVE-2021-44228 fue una llamada de atención para todas las organizaciones y fue un momento que a muchos profesionales de la seguridad les gustaría olvidar. Sin embargo, con el uso generalizado de Log4j y una red cada vez mayor de servidores internos y de terceros para parchear, la vulnerabilidad se sentirá durante mucho tiempo.
Se observa que casi todos los proyectos que utilizan frameworks como Apache Struts, Apache Solr, Apache Druid o Apache Flink se ven afectados, incluidos Steam, Apple iCloud, clientes y servidores de Minecraft.
Sonatype ha producido un centro de recursos para mostrar el estado actual de la vulnerabilidad, así como una herramienta para ayudar a las empresas a escanear su código fuente abierto para ver si está afectado.
El tablero muestra el porcentaje de descargas de Log4j que siguen siendo vulnerables (actualmente alrededor del 34 % desde diciembre pasado). También muestra las partes del mundo que han visto el porcentaje más alto de descargas vulnerables.
Brian Fox, CTO de Sonatype, dice:
Log4j fue un claro recordatorio de la importancia crítica de asegurar la cadena de suministro de software. Se utilizó en prácticamente todas las aplicaciones modernas y afectó a los servicios de organizaciones de todo el mundo. Un año después del incidente de Log4Shell, la situación sigue siendo sombría. Según nuestros datos, el 30-40% de todas las descargas de Log4j son para la versión vulnerable, aunque se lanzó un parche dentro de las 24 horas posteriores a la revelación prematura de la vulnerabilidad.
Ademas de ello, añade que es:
Imperativo que las organizaciones reconozcan que la mayoría de los riesgos del código abierto recaen en los consumidores, quienes deben adoptar las mejores prácticas en lugar de culpar al código defectuoso. Log4j no es un incidente aislado: el 96% de las descargas de componentes de código abierto vulnerables tenían una versión parcheada.
Las organizaciones necesitan una mejor visibilidad de cada componente utilizado en sus cadenas de suministro de software. Esta es la razón por la cual las soluciones de análisis de composición de software de calidad son tan importantes hoy en día, ya que el mundo contempla la utilidad de los SBOM en el futuro.
La política de software del Reino Unido y Europa debería exigir a los consumidores comerciales de software libre que puedan llevar a cabo el equivalente a un retiro específico, tal como esperamos los fabricantes de bienes físicos como la industria automotriz. La visibilidad general otorgará beneficios adicionales a las organizaciones, como la capacidad de tomar decisiones en él.
A medida que avanzamos quedó claro que los hackers continuarían explotando la vulnerabilidad. En febrero, los hackers patrocinados por el estado iraní utilizaron la falla para ingresar a una red del gobierno de EE. UU., extraer criptomonedas ilegalmente, robar credenciales y cambiar contraseñas. Luego, en octubre, un grupo asociado con el gobierno chino utilizó la vulnerabilidad para lanzar ataques contra varios objetivos, incluido un país del Medio Oriente y un fabricante de productos electrónicos.
La vulnerabilidad Log4j continúa afectando a las empresas en la actualidad. Ocupa constantemente el primer o segundo lugar en los informes de amenazas de diferentes consultoras de ciberseguridad, lo que afecta al 41 % de las organizaciones en todo el mundo a partir de octubre de 2022.
Fuentes:
https://www.darkreading.com/application-security/one-year-later-log4shell-exposed-attack
https://www.linuxadictos.com/log4-sigue-siendo-un-problema-a-un-ano-de-su-descubrimiento.html
https://www.sonatype.com/resources/log4j-vulnerability-resource-center
0 comentarios :
Publicar un comentario
Los comentarios pueden ser revisados en cualquier momento por los moderadores.
Serán publicados aquellos que cumplan las siguientes condiciones:
- Comentario acorde al contenido del post.
- Prohibido mensajes de tipo SPAM.
- Evite incluir links innecesarios en su comentario.
- Contenidos ofensivos, amenazas e insultos no serán permitidos.
Debe saber que los comentarios de los lectores no reflejan necesariamente la opinión del STAFF.