Pesquisadores de cibersegurança alertaram que a vulnerabilidade CVE-2021-44832 na biblioteca Apache Log4j2 continua a ser um problema sério para múltiplas indústrias, ameaçando especialmente o setor financeiro global. Esta vulnerabilidade permite que um atacante remoto execute código malicioso em sistemas afetados, recebendo uma pontuação CVSS de 6.6 e impactando todas as versões do Log4j desde a 2.0-alpha7 até a 2.17.0, exceto as versões 2.3.2 e 2.12.4.

O problema reside na possibilidade de um atacante com permissão para modificar o arquivo de configuração de log criar uma configuração maliciosa usando um JDBC Appender com uma fonte de dados referenciando um URI JNDI, permitindo a execução de código remoto. A vulnerabilidade foi descoberta pelo pesquisador, Yaniv Nizry, que relatou à Apache em 27 de dezembro de 2020. A Apache Software Foundation lançou a versão 2.17.1 do Log4j para corrigir a falha poucos dias depois, mas a ameaça persiste.

Recentes violações nas empresas Sisense e Snowflake, ambas certificadas pela ISO/IEC 27001, destacam a vulnerabilidade crítica que ainda ameaça toda a indústria financeira. Apesar de aderirem a rigorosos padrões de segurança, as falhas em sua infraestrutura expuseram dados financeiros sensíveis a acessos não autorizados, potencialmente levando a consequências catastróficas.

Estas empresas são confiadas por grandes grupos financeiros internacionais para operações críticas, incluindo análise de dados e armazenamento em nuvem. O setor financeiro é altamente interconectado, e uma vulnerabilidade em um sistema pode levar a um efeito dominó, comprometendo outros sistemas e serviços. O potencial para uma interrupção generalizada torna essa falha particularmente perigosa.