China castiga a Alibaba por encontrar una brecha de seguridad y no avisar al gobierno

Durante los últimos días, se descubrió una grave vulnerabilidad en el código abierto Apache Logj4 que abría una brecha de seguridad incluso en el helicóptero de la NASA en Marte. Esta grave situación, clasificada en el máximo riesgo, ha llevado a que China suspensa contratos con una división de Alibaba en su país, pero ¿por qué?

Al parecer, la vulnerabilidad de Log4j fue descubierto inicialmente por Chen Zhaojun, un investigador del equipo Alibaba Cloud Security Team, una división de ciberseguridad de la gigante china.

El experto, siguiendo las alineaciones de las comunidades de ciberseguridad de código abierto, notificó la vulnerabilidad a la Apache Foundation, desarrolladora del código, lo que provocó una respuesta tardía del estudio ante la imposibilidad de solución. El caso agravó y ahora China también busca culpables.

China y sus políticas

China ha cambiado sus leyes y en septiembre las autoridades han dictado que todos los proveedores de software y de telecomunicaciones afectados por vulnerabilidades críticas a revelarlas en primer lugar a las autoridades gubernamentales.

Ante el caso, el Ministerio de Industria y Tecnología de la Información de la República Popular China ha anunciado la suspensión durante medio año de un acuerdo de colaboración público-privada que mantenía con Alibaba Cloud. El motivo directo fue “no avisar de inmediato la vulnerabilidad".

Rastreado como CVE-2021-44228 (y un puntaje máximo de 10 puntos en riesgo) y con nombre en código Log4Shell o LogJam, la deficiencia de seguridad catastrófica permite a los actores malintencionados ejecutar de forma remota código arbitrario al obtener una cadena especialmente diseñada registrada por el software.

Después de la divulgación pública del error, Log4Shell ha sido objeto de una explotación generalizada por parte de los actores de amenazas para tomar el control de servidores susceptibles, gracias al uso casi omnipresente de la biblioteca, que se puede encontrar en una variedad de servicios para consumidores y empresas, sitios web y aplicaciones, así como en productos de tecnología operativa, que dependen de él para registrar información de seguridad y rendimiento.

Te recomendamos METADATA, el podcast de tecnología de RPP. Noticias, análisis, reseñas, recomendaciones y todo lo que debes saber sobre el mundo tecnológico. Para escucharlo mejor, #QuedateEnCasa.