[ Vulnérabilité Apache Log4J ] Nos produits impactés

Cet article n’est plus maintenu depuis le 10.01.2022

Nous avons mis à jour les tableaux avec les informations concernant les CVEs  CVE-2021-45046, CVE-2021-4104, CVE-2021-45105 qui ont suivi la CVE-2021-44228 initiale.
Nous avons aussi ajouté le lien vers notre dépots git et notre vidéo explicative.

Le 9 décembre dernier, Apache a publié une vulnérabilité zero-day (CVE-2021-44228) pour Apache Log4j appelée « Log4Shell ». Cette vulnérabilité a été classée comme « Critique » avec un score CVSS de 10.0, permettant l’exécution de code à distance avec les privilèges utilisés par l’applicatif.

La librairie Log4j est une des librairies de logging standard de Java. Un grand nombre de solutions du marché sont par conséquent touchées par cette annonce. Vous trouverez une vidéo explicative sur notre chaine YouTube.

Les équipes d’e-Xpert Solutions sont en cours d’investigation et tentent de recenser activement le statut de vulnérabilité des produits que nous vous proposons, et le cas échéant si une solution de contournement existe.

Vous trouverez ci-dessous un tableau récapitulatif de l’état actuel de nos investigations.

Nous le mettrons à jour régulièrement et restons disponibles en cas de questions supplémentaires.

Actuellement activement exploitée par divers acteurs malveillants, nous vous conseillons de retirer l’accès externe aux équipements vulnérables.

Diverses possibilités de limitation des risques peuvent être mises en place. Comme l’interdiction d’accès à internet aux serveurs vulnérables ou la mise en place de politique WAF avec F5 ou R&S. Pour nos clients SOC At-Defense, plusieurs méthodes de détections sont déjà opérationnelles depuis samedi et de nouvelles sont en développement afin de pouvoir détecter et réagir au plus vite en cas de compromission.

Nos équipes du SOC ont mis à disposition leurs recherchent pour tenter de détecter des attaques, mais aussi des scripts pour linux et windows afin de déterminer si un système est vulnérable. Vous les trouverez sur notre dépots git

Etant donné que la CVE-2021-4104 ne touche que la branche 1.2 de log4j et uniquement dans une configuration spécific, aucuns de nos produits ne sont touché par cette vulnérabilité. L’éditeur Totemo étant le seul utilisant la librairie en version 1.2 à notre connaissance, il nous a confirmé ne pas être vulnérable à la CVE-2021-4104.

* Les produits que nous proposons ne sont pas vulnérables. D’autres du même éditeurs peuvent l’être.
** Les produits de ces éditeurs proposent des solutions pour aider à mitiger le risque par des signatures WAF ou IPS.

Nous restons à votre disposition. N’hésitez pas à nous contacter pour plus de renseignements.