Talonnant de près CVE-2021-44228, une deuxième vulnérabilité CVE de Log4J a été déclarée, CVE-2021-45046. Les règles que nous avons précédemment publiées pour CVE-2021-44228 offrent le même niveau de protection contre cette nouvelle vulnérabilité CVE.
Cette vulnérabilité est activement exploitée et toute personne utilisant Log4J doit effectuer la mise à jour vers la version 2.16.0 dès que possible, même si une mise à jour vers la version 2.15.0 a précédemment été effectuée. La nouvelle version est dès maintenant disponible sur la page de téléchargement de Log4j.
Les clients utilisant le pare-feu WAF de Cloudflare disposent de trois règles pour contribuer à l’atténuation d’éventuelles tentatives d’exploitation de la vulnérabilité :
| ID de règle | Description | Action par défaut |
|---|---|---|
100514 (ancien pare-feu WAF)6b1cc72dff9746469d4695a474430f12 (nouveau pare-feu WAF) |
En-têtes Log4j | BLOCK |
100515 (ancien pare-feu WAF)0c054d4e4dd5455c9ff8f01efe5abb10 (nouveau pare-feu WAF) |
Corps de texte Log4j | BLOCK |
100516 (ancien pare-feu WAF)5f6744fa026a4638bda5b3d7d5e015dd (nouveau pare-feu WAF) |
URL Log4j | BLOCK |
Les mesures d’atténuation ont été réparties dans trois règles permettant d’inspecter les en-têtes HTTP, le corps de texte et l’URL, respectivement.
En plus des règles ci-dessus, nous avons également publié une quatrième règle offrant une protection contre un nombre considérablement supérieur d’attaques, au prix d’un taux de faux positifs plus élevé. Pour cette raison, nous l’avons mise à disposition, mais ne l’avons pas définie sur BLOCK par défaut :
| ID de règle | Description | Action par défaut |
|---|---|---|
100517 (ancien pare-feu WAF)2c5413e155db4365befe0df160ba67d7 (nouveau pare-feu WAF) |
Log4J Advanced URI, Headers | DISABLED |
Qui est concerné ?
Log4J est une puissante bibliothèque de journalisation Java, gérée par Apache Software Foundation.
Dans toutes les versions >= 2.0-beta9 et <= 2.14.1 de Log4J, les fonctionnalités JNDI utilisées dans la configuration, les messages de fichier journal et les paramètres peuvent être exploitées par un acteur malveillant pour lancer une exécution de code à distance. Plus précisément, un acteur malveillant pouvant contrôler les messages de fichier journal ou les paramètres des messages de fichier journal peut exécuter du code arbitraire chargé depuis des serveurs LDAP lorsque la substitution de recherche de messages est activée.
Par ailleurs, les atténuations précédentes pour CVE-2021-22448, telle qu’elle a été observée dans la version 2.15.0, n’étaient pas adéquates pour offrir une protection contre CVE-2021-45046.