Vulnerabilidade Apache Log4j

Nos últimos dias recebemos muitos pedidos a perguntar pela vulnerabilidade do Apache Log4j, de que todos os meios de comunicação se fizeram eco. É uma vulnerabilidade extremamente crítica, à qual foi dado o nome de Log4Shell.

Nos nossos serviços, o Apache Log4j é usado apenas no Dovecot Sorl, um sistema que se encarrega de oferecer resultados eficientes e rápidos quando se faz algum tipo de pesquisa em massa no email (exclusivo para IMAP), por exemplo ao procurar uma cadeia de texto em todos os emails a partir da caixa de pesquisa do webmail.

O patch de segurança foi aplicado no mesmo dia em que a vulnerabilidade veio a público, tal como as sucessivas atualizações nos dias seguintes.

Como o serviço Dovecot Sorl não está exposto ao público, o risco é limitado (todos os sistemas foram auditados e a vulnerabilidade não foi aproveitada em nenhum caso). Explorar esta vulnerabilidade teria implicado, primeiro, que o atacante tivesse dados de acesso válidos a uma conta de email na nossa infraestrutura e, depois, que tivesse conhecimento do uso desta biblioteca nas pesquisas.

Mesmo com todos os patches aplicados, e tendo em conta as limitações de acesso, decidimos desativar temporariamente o Dovecot Sorl por precaução, até que todos os especialistas de segurança confirmem que os patches são efetivamente 100% eficazes. Não sendo um serviço crítico, o único prejuízo seria que as pesquisas no email teriam um desempenho inferior durante as próximas semanas, período após o qual teremos a segurança de poder ativar este sistema sem risco.