[MaJ] تنبيه امني Apache Log4j
[MaJ] تنبيه امني Apache Log4j
محتويات التنبيه:
معلومات :
| المرجع | CERTFR-2021-ALE-022 |
| العنوان | [MaJ] Vulnérabilité dans Apache Log4j |
| تاريخ الاصدار الأول | 10 décembre 2021 |
| تاريخ أخر تحديث | 04 mai 2022 |
| المصادر | |
| المرفقات | Aucune(s) |
المخاطر:
- Exécution de code arbitraire à distance
الأنظمة المثأثرة:
- Apache Log4j versions 2.16.0 et 2.12.2 (java 7)
- Apache Log4j version 2.15.0
- Apache Log4j versions 2.0 à 2.14.1
- Apache Log4j versions 1.x (versions obsolètes) sous réserve d’une configuration particulière, cf. ci-dessous
- Les produits utilisant une version vulnérable de Apache Log4j : les CERT nationaux européens tiennent à jour une liste complète des produits et de leur statut vis-à-vis de la vulnérabilité [2]
ملخص الثغرة:
Une vulnérabilité a été découverte dans la bibliothèque de journalisation Apache log4j. Cette bibliothèque est très souvent utilisée dans les projets de développement d’application Java/J2EE ainsi que par les éditeurs de solutions logicielles sur étagère basées sur Java/J2EE.
الحلول من هده الثغرة:
Cette vulnérabilité permet à un attaquant de provoquer une exécution de code arbitraire à distance s’il a la capacité de soumettre une donnée à une application qui utilise la bibliothèque log4j pour journaliser l’évènement. Cette attaque peut être réalisée sans être authentifié, par exemple en tirant parti d’une page d’authentification qui journalise les erreurs d’authentification.
المصادر:
- le motif com.sun.jndi.ldap.LdapCtx@ (et non pas com.sun.jndi.dns.DnsContext@ comme indiqué précédemment) apparaîtra lorsqu’une injection LDAP est utilisée pour récupérer du contenu qui ne serait pas un objet java au standard rfc2713 : il peut s’agir d’un scan de détection ou d’une tentative erronée d’un attaquant
- l’injection sera enregistrée dans les journaux telle qu’elle a été soumise par l’attaquant si le serveur LDAP n’est pas joignable ou si l’objet qu’il souhaitait télécharger n’est pas trouvé sur le serveur LDAP : il est donc possible de trouver des tentatives d’injection sous une forme obscurcie dans les journaux, les motifs précédemment listés peuvent donc être utilisés pour identifier toutes les tentatives
- une erreur contenant le motif “Reference Class Name:” suivi d’un nom de classe puis des lignes commençant par “Type:” et “Content:” peut apparaître dans les journaux si l’injection LDAP fonctionne mais que la classe contenant la charge utile ne peut pas être récupérée sur le serveur LDAP visé
- il peut être intéressant de chercher des injections en DNS et LDAP basées sur la classe JavaLookup tels que ${java:hw}, ${java:vm} et ${java:os}. Ces dernières sont utilisées par les attaquants pour obtenir des informations sur la machine ciblée.