Ci vuole una regia pubblica per fronteggiare la minaccia cibernetica e Log4j ce lo insegna
Per l’esperto cyber e professore universitario Corrado Aaron Visaggio, che si sia trattato di insider threat o APT, la vulnerabilità Java che sta allarmando tutti deve essere l’occasione per riflettere sull’uso e sul tracciamento del patrimonio software su cui si basano le nostre attività
di ARTURO DI CORINTO per Cybsersecurity360 del 28 Dicembre 2021
Il 9 dicembre è stata resa pubblica la falla di un software assai popolare. La vulnerabilità (CVE-2021-44228) coinvolge la libreria Java Apache Log4j utilizzata a livello mondiale. Considerata di livello critico, permette a chi la sfrutta di eseguire del codice arbitrario a danno dell’applicazione affetta: in gergo si parla di Remote Code Execution (RCE). Una bella metafora utilizzata per spiegare questo problema informatico è questa: “come se mentre stai recitando a teatro qualcuno ti cambia la sceneggiatura e il gobbo suggeritore non tiene più traccia dei testi dei personaggi, anzi, ce ne aggiunge di nuovi”.
La vulnerabilità è stata soprannominata Log4Shell e all’inizio ha interessato le versioni dalla 2.0-beta 9 alla 2.14.1 della libreria. Ma adesso, nonostante le patch, le correzioni prodotte velocemente dalla comunità del software open source, si scoprono nuove vulnerabilità e per mettersi al riparo le patch successive non bastano più.
Per capire il contesto di questa minaccia abbiamo interpellato un esperto del settore, un giovane ricercatore di cyber security e professore di Sistemi di elaborazione delle informazioni nel Dipartimento di Ingegneria dell’Università del Sannio, molto citato dai suoi colleghi scienziati. Si occupa di ricerca industriale per DefenseTech, un’azienda che sviluppa tecnologie per la difesa in ambito aerospazio, ingegneria dei sistemi e cyber security dirigendone il settore R&D.
