¿Qué lección principal dejó Log4Shell (2021) a la industria?
Opciones
- Un fallo en una dependencia puede afectar a miles: mantén un SBOM (Opción correcta)
- No usar nunca Java para software de producción
- El logging es inseguro y debe desactivarse por completo
- Solo importa la seguridad del código propio
Respuesta
Una vulnerabilidad en una dependencia transitiva popular puede comprometer miles de apps, así que necesitas un inventario de dependencias (SBOM), escaneo y parches rápidos
Por qué
Log4Shell (CVE-2021-44228) fue un fallo crítico de remote code execution en la librería de logging Log4j: registrar un string controlado por un atacante podía hacer que la app cargara y ejecutara código remoto.
Muchos equipos ni siquiera sabían que usaban Log4j porque llegaba como dependencia transitiva.
Lecciones: mantén un Software Bill of Materials (SBOM), ejecuta escaneos SCA de forma continua, actualiza las dependencias con regularidad y nunca confíes en una entrada, aunque solo se esté registrando.
Recuerda
Conoce tus dependencias; aplica parches rápido; SBOM + SCA.