Log4Shell: i software di Microsoft, Intel e NVIDIA sono vulnerabili, AMD è al sicuro

La vulnerabilità Log4Shell del tool Log4j è stata risolta, almeno apparentemente, con l'aggiornamento 2.17.0 del programma, rilasciato da Apache il 19 dicembre. A qualche ora di distanza dalla risoluzione della falla, le compagnie informatiche hanno iniziato ad analizzare i propri software per capire quali siano ancora vulnerabili e quali no.

In particolare, AMD ha segnalato che i suoi prodotti sono privi di rischi correlati a Log4Shell: ciò dovrebbe essere dovuto al fatto che nessuno dei software rilasciati da AMD esegue lo script "incriminato" di Log4j. L'azienda ha comunque dichiarato che sta "continuando le analisi" per verificare che tutti i propri software siano immuni da Log4Shell.

Invece, Intel ha rilasciato una lista di nove applicazioni affette dalla vulnerabilità per il momento. Le applicazioni sono:

• Intel Audio Development Kit
• Intel Datacenter Manager
• Intel OneAPI Sample Browser Plugin per Eclipse
• Intel System Debugger
• Intel Secure Device Onboard
• Intel Genomics Kernel Library
• Intel System Studio
• Computer Vision Annotation Tool
• Intel Sensor Solution Firmware Development Kit

Intel ha spiegato che l'exploit permette di scaricare ed eseguire codice maligno, evitando diversi livelli di sicurezza software, mentre non richiede l'accesso fisico ai sistemi che vengono colpiti, ma può colpire qualsiasi dispositivo dotato di accesso al browser e ad internet. l'azienda è comunque al lavoro su un fix per tutte le applicazioni, che comunque vengono utilizzate solamente sui server: gli utenti PC, in altre parole, non dovrebbero aver nulla da temere.

Anche NVIDIA è stata colpita da Log4Shell, ma la sua situazione sembra più complessa di quella di Intel: al momento, infatti, le release più recenti dei software di NVIDIA sono immuni dalla falla, ma lo stesso non può dirsi per le versioni non aggiornate dei programmi e delle applicazioni, soprattutto per i server. In particolare, la lista di applicazioni non aggiornate affette dalla vulnerabilità è la seguente:

• CUDA Toolkit Visual Profiler and Nsight Eclipse Edition
• DGX Systems
• NetQ
• VGPU Software License Server

Infine, Microsoft ha già aggiornato i suoi software per eliminare ogni vulnerabilità connessa a Log4j e Log4Shell: in particolare, l'azienda ha trovato rischi per la sicurezza in Azure Spring Cloud e Azure DevOps, consigliando agli utenti che utilizzano i software di aggiornarli il prima possibile. La vulnerabilità di Log4Shell ha raggiunto gravità 10 in scala decimale la scorsa settimana, causando danni milionari a diverse grandi aziende in tutto il mondo.