Log4Shell (CVE-2021-44228)

Log4Shell es una vulnerabilidad con CVSS 10.0 en Apache Log4j 2 (versiones 2.0-beta9 a 2.14.1) divulgada en diciembre de 2021. La función de búsqueda en mensajes evaluaba cadenas como ${jndi:ldap://...} dentro de los logs, haciendo que la JVM descargara y deserializara una clase Java remota, con la consiguiente ejecución remota de código. Como Log4j está embebido en innumerables aplicaciones y appliances Java, cualquier entrada que acabase en un log (User-Agent, campo de búsqueda, nombre de archivo) era un vector. Provocó un esfuerzo global de parcheo urgente y figura entre los 0-day más explotados. Las defensas incluyen actualizar Log4j a 2.17.1+, desactivar las búsquedas JNDI, bloquear el tráfico de salida y usar SBOM para localizar componentes afectados.