Une vulnérabilité critique zero-day (CVE-2021-44228) a été récemment découverte dans Apache Log4J, la bibliothèque de journalisation open source Java populaire utilisée dans d'innombrables applications à travers le monde.
La vulnérabilité de gravité maximale a été identifiée comme « Log4Shell », qui, si elle est exploitée, pourrait permettre à un attaquant distant de prendre le contrôle de systèmes vulnérables et d'exécuter du code arbitraire à distance.
Selon certains chercheurs en sécurité, cette faille est la plus grave découverte au cours de la dernière décennie, en raison de sa facilité d'exploitation et du nombre considérable d'applications d'entreprise et de services cloud affectés. Il s'agit de la vulnérabilité de sécurité la plus médiatisée sur Internet à l'heure actuelle, avec un indice de gravité de 10, le niveau maximal possible.
Après Log4Shell, les chercheurs en sécurité ont identifié quelques vulnérabilités supplémentaires dans la même bibliothèque Log4j. Ces nouvelles vulnérabilités sont : CVE-2021-45046 (exécution de code à distance), CVE-2021-45105 (déni de service) et CVE-2021-4104 (exécution de code à distance).
Apache a corrigé cette vulnérabilité en publiant un correctif et un avis de sécurité contenant des détails d'atténuation.
Qu'est-ce que la vulnérabilité « Log4Shell » d'Apache Log4J ?
Log4j est un utilitaire de journalisation open source basé sur Java, intégré aux services de journalisation Apache. La journalisation de données non fiables ou contrôlées par l'utilisateur avec une version vulnérable de Log4J peut entraîner une exécution de code à distance (RCE) sur votre application. Cela inclut les données non fiables fournies dans les erreurs journalisées, telles que les traces d'exception, les échecs d'authentification et autres vecteurs inattendus de saisie contrôlée par l'utilisateur.
Log4j, un attaquant distant non authentifié, pourrait exploiter cette vulnérabilité en envoyant une requête d'injection JNDI spécialement conçue à un serveur cible et en écrivant dans un fichier journal, ce qui entraînerait l'exécution de code arbitraire. Cela permettait aux attaquants d'injecter des charges utiles malveillantes depuis des serveurs LDAP ou d'autres services JNDI tels que DNS, RMI, NIS, NDS, CORBA et IIOP lorsque le mécanisme de recherche de messages était activé.
- Versions de Log4j impactées:Toutes les versions de 2.0-beta9 à 2.14.1
- Gravité: Critique
Pourquoi la vulnérabilité « Log4Shell » est-elle critique ?
Un attaquant distant non authentifié peut exploiter cette vulnérabilité dans de simples requêtes web ciblant des systèmes vulnérables identifiés. Une exploitation réussie pourrait conduire à l'exécution de code arbitraire et permettre à l'attaquant de prendre le contrôle total du système.
Apache Log4j est largement utilisé dans les services logiciels cloud et d'entreprise. Par conséquent, le code d'exploitation accessible au public, les exploitations faciles et les techniques d'évasion de détection rendent cette vulnérabilité très dangereuse.
CVE-2021-45046 , CVE-2021-45105 , CVE-2021-4104 dans log4j :
La vulnérabilité CVE-2021-45046 affecte les versions 2.0-beta9 à 2.15.0, à l'exception de la version 2.12.2. Initialement classée comme « Faible », elle est désormais considérée comme « Critique » et constitue une vulnérabilité d'exécution de code à distance. En exploitant une configuration de journalisation non standard avec un modèle de recherche de contexte et de contrôle de la carte de contexte des threads (MCD), un attaquant peut créer des entrées malveillantes via un modèle de recherche JNDI, ce qui peut entraîner un déni de service (DoS), une fuite d'informations ou l'exécution de code à distance.
- Versions de Log4j impactées:Toutes les versions 0-beta9 à 2.15.0 à l'exclusion de 2.12.2
- Gravité: Critique
La vulnérabilité CVE-2021-45105 affecte les versions de Log4j de 2.0-beta9 à 2.16.0 présentant une configuration non standard. Un attaquant peut envoyer des requêtes spécialement conçues avec une recherche récursive, contrôlant ainsi les données de la Thread Context Map et provoquant une attaque par déni de service.
- Versions de Log4j impactées:Toutes les versions de 2.0-beta9 à 2.16.0
- Gravité: Haut
La vulnérabilité CVE-2021-4104 affecte la version 1.2 de Log4j lorsque Log4j est configuré pour utiliser JMSAppender afin d'effectuer des requêtes JNDI, ce qui peut entraîner l'exécution de code à distance.
- Versions de Log4j impactées: édition 1.2
- Gravité: Haut
Atténuation de « Log4Shell »
- Mettez à jour immédiatement vers la dernière version d'Apache Log4j à partir de ici.
- S'il vous plaît se référer à Avis aux fournisseurs.
- Mettez à jour les solutions de sécurité réseau et les points de terminaison avec les dernières définitions.
Seqrite Couverture médiatique de « Log4Shell »
Nous avons publié des règles IPS pour identifier et bloquer les attaques à distance exploitant les installations Log4j vulnérables. Nous continuerons de suivre l'évolution de cette menace et d'améliorer nos détections si nécessaire. Nous conseillons à tous nos clients d'appliquer les correctifs nécessaires à leurs systèmes et de maintenir leur logiciel antivirus à jour avec les dernières mises à jour de VDB.