Log4j (Java, J2EE) : mise en lumière d’une vulnérabilité 0-day entraînant une exécution de code à distance ! (le “bean”s…)

Depuis le 9 Décembre 2021, l’équipe LunaSec alerte : une vulnérabilité assez critique impacte la bibliothèque Apache pour les versions 2.14.1 et inférieures. Il est vivement conseillé, si ce n’est déjà fait, de procéder à la mise à jour (v2.15.0) de Log4j.

Selon la version exploitée, l’attaque peut aller jusqu’à une exécution distante de code en déviant la journalisation depuis le LDAP via les fonctions JNDI. Assignée CVE-2021-44228, la faille, en-dessous des versions 2.15.0 peut permettre un contrôle-serveur distant tout en notant que les versions strictement inférieures à v2.10 de Log4j peuvent être jugulables sur ce point en effectuant, en manuel, une modification ou création-paramètre (système) via log4j2.formatMsgNoLookups voire en supprimant JndiLookup du chemin-fichier ou dossier. La version 8u121 de Java semble immunisé contre cet exploit : il suffit de définir par défaut “LOG4J_FORMAT_MSG_NO_LOOKUPS” à “true”, indique le bulletin de sécurité ; voire “com.sun.jndi.rmi.object.trustURLCodebase” et “com.sun.jndi.cosnaming.object.trustURLCodebase” à “false“, selon ce chercheur sécuritaire.

“Le problème réel ici ne se situe pas dans la bibliothèque JDK ou Apache Tomcat, mais plutôt dans les applications personnalisées qui transmettent des données contrôlables par l’utilisateur à la fonction “InitialContext.lookup()”, car cela représente toujours un risque de sécurité même dans les installations JDK entièrement corrigées. Gardez à l’esprit que d’autres vulnérabilités (telles que la « désérialisation des données non fiables » par exemple) peuvent également conduire à la résolution de JNDI dans de nombreux cas. Prévenir ces vulnérabilités en utilisant une revue de code source est toujours une bonne idée“, complétait déjà un autre chercheur sécuritaire, Michael Stepankin, le 3 Janvier 2019 au sein d’un PoC dédié… A veiller !

Sources :

• Logging Apache – 6 Décembre 2021 – Notes de mises à jour (par versionnage de Log4j + bulletins sécuritaires dédiés),
• LunaSec – 9-10 Décembre 2021 – Log4j : vulnérabilité 0-day (explications + atténuations + ressources),
• blog VeraC0(1)de – 3 Janvier 2019 – Vulnérabilité sous Java depuis une viralité instillée dans le JNDI de Log4j (PoC).

Signaler une erreur

Raison: *
Erreur(s) dans l'informationFaute(s) d'orthographe(s)

Votre nom: *

Votre email: *

Détails: *

Envoyer votre message