Empresas de todo o mundo buscaram assistência rápida, especialmente aquelas com ambientes de TI complexos que utilizam software SAP, monitoramento do Cisco AppDynamics e que precisam lidar com aplicativos corporativos vulneráveis.

‍

CHICAGO, IL | 23 de dezembro de 2021

‍

Especialistas da Evolutio e do EPI-USE Labs estão ajudando as organizações com orientação, identificação e mitigação da vulnerabilidade na estrutura do Log4j, agora coloquialmente conhecida como Log4Shell. Esse problema está no topo da lista de tarefas das equipes de TI e segurança das empresas no final do ano de 2021.

Devin Stonecypher, diretor de segurança da Evolutio, explica a ameaça da seguinte forma: "Há três fatores que tornam o Log4Shell tão perigoso. Primeiro, a biblioteca vulnerável log4j é amplamente implantada. Em segundo lugar, a vulnerabilidade é surpreendentemente fácil de ser explorada. Terceiro, a exploração dá aos invasores a capacidade de executar códigos arbitrários remotamente em sistemas comprometidos."

Em 9 de dezembro de 2021, a vulnerabilidade crítica de dia zero na estrutura do Apache Log4j foi divulgada publicamente, denotada no catálogo Common Vulnerabilities and Exposures (CVE) como CVE-2021-44228. A Apache Software Foundation atribuiu a ela uma classificação CVSS (Common Vulnerability Scoring System) de 10, a maior pontuação possível.

As organizações podem ser expostas sem nem mesmo perceber, já que a biblioteca Log4j é predominante em várias estruturas, ferramentas e ambientes de tempo de execução. Um aplicativo vulnerável pode até permitir o acesso a outros aplicativos e armazenamentos de dados não relacionados.

A Stonecypher tem mantido uma perspectiva de esperança com os clientes corporativos, ao mesmo tempo em que os instrui sobre os fundamentos quando necessário. "Escondidas no fundo de todos os aplicativos estão as bibliotecas de código que o desenvolvedor do aplicativo não escreveu e que ele não examinou pessoalmente. Essas bibliotecas são pequenos (às vezes não tão pequenos) pacotes de código pré-escrito que executam uma função específica ou um conjunto de funções. O Log4Shell tem semelhanças com a vulnerabilidade da SolarWinds, pois ambas são vulnerabilidades da cadeia de suprimentos de software. A vulnerabilidade que levou ao incidente da SolarWinds foi uma inclusão maliciosa (um ataque) em uma biblioteca, e atualmente acredita-se que a vulnerabilidade do Log4Shell seja uma inclusão acidental na biblioteca Log4j. Mas ambas são vulnerabilidades na cadeia de suprimentos de software", disse Stonecypher.

Jaco Prinsloo, diretor da EPI-USE Labs e parceiro estratégico da Evolutio, disse: "A SAP, a AppDynamics e a maioria dos outros fornecedores de software têm emitido avisos de segurança, detalhando quais produtos são afetados e como. Temos visto alguns clientes responderem bem a esses avisos de segurança, com especialistas internos fortes que podem implementar as atenuações e garantir que as vulnerabilidades sejam realmente corrigidas. No entanto, alguns clientes estão tendo dificuldades e precisam de ajuda para mitigar essas vulnerabilidades de forma eficaz."

Prinsloo continua dizendo que "alguns clientes com quem conversamos ficaram surpresos com a extensão dessa vulnerabilidade. Eles sabem que alguns de seus produtos são executados em Java, mas não se deram conta de quantos. A SAP, por exemplo, faz uso extensivo do Java em vários de seus serviços e produtos".

Adam Ties, CEO da Evolutio, disse que "imediatamente após a divulgação da notícia, nossos clientes começaram a sentir a dor, que se intensificou durante o fim de semana. Devido à nossa capacidade de ajudar com soluções e orientações, priorizamos nossa resposta, dado o risco significativo de implicações altamente adversas decorrentes desse evento de segurança".

A Evolutio e o EPI-USE Labs estão oferecendo chamadas de consultoria com seus especialistas para validar se as organizações estão lidando corretamente com as vulnerabilidades. Eles ofereceram varredura automatizada e ferramentas modernas para encontrar aplicativos vulneráveis, com ênfase especial nos ambientes de TI que têm software SAP ou monitoramento Cisco AppDynamics em vigor. As duas organizações ofereceram assistência com a atenuação real, especialmente em cenários mais complexos. E, por fim, a Evolutio e o EPI-USE Labs podem fornecer conselhos sobre como proteger os sistemas no futuro, incluindo sugestões sobre ferramentas e gerenciamento de riscos.

‍

‍

SOBRE A EVOLUTIO (https://www.evolutiops.com):

A Evolutio é especializada em ajudar as organizações a resolver os desafios operacionais da criação e do dimensionamento de aplicativos empresariais complexos, trazendo simplicidade e governança ao caos por meio de quatro áreas de prática: Observabilidade, Automação, Segurança e Ciência de Dados. Seus serviços profissionais implementam e otimizam tecnologias comprovadas para maximizar a receita, aumentar a fidelidade à marca e oferecer uma experiência digital de primeira linha.

‍

SOBRE O EPI-USE LABS (https://www.epiuselabs.com):

A EPI-USE Labs fornece software e serviços para aprimorar o desempenho, a segurança e o gerenciamento dos sistemas SAP® de seus clientes. Seus softwares, soluções de valor agregado e serviços gerenciados criam sistemas melhores, mais poderosos e seguros para mais de 1.000 organizações que usam SAP em todo o mundo.

‍