Un allarme urgente afferente alla cybersicurezza -...

Un allarme urgente afferente alla cybersicurezza

Autore: Adalberto Biasiotti

Categoria: Sicurezza informatica

15/12/2021

L’agenzia nazionale per la cybersicurezza ha rilasciato un segnale di allarme per una vulnerabilità, con gravità classificata “critica”, relativa ad un prodotto assai diffuso nella pubblica amministrazione, ma non solo.

Ricordiamo ai lettori che è stata recentemente costituita l’agenzia per la cybersicurezza nazionale (ACN). Nell’ambito di questa agenzia opera il Computer security Incident response Team (CSIRT), i cui compiti sono definiti dal decreto legislativo 18 maggio 2018 e dal decreto del presidente consiglio dei ministri dell’8 agosto 2014.

In particolare, i compiti di questo ente, che finalmente permette all’Italia di allinearsi con altri paesi, in tema di monitoraggio del livello di sicurezza informatico della pubblica amministrazione, ma non solo, sono così definiti:

il monitoraggio degli incidenti informatici a livello nazionale,
l’emissione di preallarmi, allerte, annunci e divulgazione di informazioni alle parti interessate, in merito a rischi incidenti informatici (è il caso in esame)
l’intervento in caso di incidente,
l’analisi dinamica dei rischi e degli incidenti,
la sensibilizzazione degli utenti su temi di sicurezza informatica,
la partecipazione alla rete dei CSIRT è europei.

È in questo contesto che è stato rilasciato, il 10 dicembre 2021, alle 11:59, un PoC – Proof of Concept, afferente alla vulnerabilità, con gravità critica, relativa all’uso del prodotto Apache Log4j.

La stima di impatto della vulnerabilità è posta a livello rosso vale a dire a livello del 77% su un massimo di 100.

I prodotti e le versioni coinvolte sono tutte le versioni di Apache Log4j dalla 2.0-beta 9 alla 2.14.1. L’agenzia per la cybersicurezza nazionale consiglia a tutti i soggetti, che operano in questo contesto, di attuare subito le azioni di mitigazione, fornite da Apache, seguendo le indicazioni di sicurezza accessibili al seguente link:

https://logging.apache.org/log4j/2.x/security.html

Adalberto Biasiotti