Apache Log4j 2, une bibliothèque de journalisation basée sur Java et développée par la fondation Apache, est utilisée par de nombreuses applications d’entreprise et services en nuage pour fournir des capacités de journalisation avancées. Selon que vous utilisez actuellement un service géré ou non géré, vous pouvez être vulnérable à cette nouvelle exploitation de type “Zero Day”. Pour les clients qui profitent des avantages d’un service géré, comme nos utilisateurs de VPS géré, d’hébergement dédié géré ou d’hébergement partagé, vous n’avez pas à vous inquiéter, car nos services ont été patchés dès qu’ils ont été disponibles. Pour tous ceux qui gèrent eux-mêmes leurs services, c’est le moment de faire une mise à jour si ce n’est déjà fait.

Le 24 novembre 2021, l’équipe de sécurité d’Alibaba Cloud a signalé à Apache une vulnérabilité d’exécution de code à distance de Log4j 2. L’exploit tire parti de certaines fonctions de Log4j qui effectuent une analyse récursive. Ce qui, avec des requêtes malveillantes spécialement construites, permet aux attaquants de déclencher l’exécution de code à distance.

La vulnérabilité a un impact sur les configurations par défaut de plusieurs frameworks Apache, notamment :

• Druide Apache
• Apache Flink
• Apache Solr
• Apache Struts2

Dans les versions d’Apache Log4j2 jusqu’à la version 2.14.1 incluse (à l’exclusion des versions de sécurité 2.3.1, 2.12.2 et 2.12.3), les fonctionnalités JNDI utilisées dans les configurations, les messages de journal et les paramètres ne protègent pas contre les points d’extrémité LDAP et autres points d’extrémité liés à JNDI contrôlés par des attaquants. Un attaquant qui peut contrôler les messages de journal ou les paramètres des messages de journal peut exécuter du code arbitraire chargé à partir de serveurs LDAP lorsque la substitution de recherche de message est activée. ^{Source :}

Le 10 décembre 2021, cette vulnérabilité a été officiellement désignée dans la base de données nationale des vulnérabilités du NIST comme CVE-2021-44228 (également connue sous le nom de vulnérabilité “Log4Shell”). Ce phénomène s’est ensuite étendu à plusieurs autres vulnérabilités découvertes, puis corrigées, répertoriées sous les noms de CVE-2021-45046 et CVE-2021-45105.

Il a été constaté que la correction de la CVE-2021-44228 dans Apache Log4j 2.15.0 était incomplète dans certaines configurations autres que celles par défaut. Lorsque la configuration de l’enregistrement utilise une disposition de modèle non par défaut avec une recherche de contexte (par exemple, $$${ctx:loginId}), les attaquants ayant le contrôle des données d’entrée de Thread Context Map (MDC) peuvent créer des données d’entrée malveillantes à l’aide d’un motif JNDI Lookup, ce qui entraîne une fuite d’informations et l’exécution de code à distance dans certains environnements et l’exécution de code local dans tous les environnements ; l’exécution de code à distance a été démontrée sur macOS mais aucun autre environnement testé.

CVE-2021-45046

Les versions 2.0-alpha1 à 2.16.0 d’Apache Log4j2, à l’exception de la 2.12.3, n’offraient pas de protection contre les récursions incontrôlées provenant de recherches autoréférentielles. Lorsque la configuration de la journalisation utilise une disposition de motif non par défaut avec une recherche de contexte (par exemple, $${ctx:loginId}), les attaquants qui contrôlent les données d’entrée de la carte de contexte de thread (MDC) peuvent créer des données d’entrée malveillantes contenant une recherche récursive, ce qui entraîne une erreur de type StackOverflowError qui met fin au processus. Cette attaque est également connue sous le nom de DOS (Denial of Service).

CVE-2021-45105

Comment la vulnérabilité vous affecte-t-elle ?

Selon le type de compte d’hébergement que vous avez avec The Core Hosting, vous pouvez ou non avoir à prendre des mesures :

Comptes WordPress partagés, revendeurs et gérés

Si vous avez un compte d’hébergement WordPress partagé, revendeur ou géré, vous n’avez rien à faire. Ces serveurs reçoivent automatiquement des mises à jour fréquentes qui incluent des correctifs pour la vulnérabilité de Log4j 2.

cPanel a publié une mise à jour pour atténuer la CVE-2021-44228 le jour même où la vulnérabilité a été annoncée. Pour plus d’informations, consultez l’article du blog de cPanel.

Managed VPS et dédiés

Si vous disposez d’un serveur dédié géré ou d’un serveur VPS géré, vous n’avez probablement pas besoin de prendre de mesures – votre serveur est mis à jour automatiquement avec des correctifs pour la vulnérabilité Log4j 2. La seule exception est que si vous avez installé un logiciel utilisant log4j en dehors de cPanel/WHM, vous devez vous assurer que ces installations sont mises à jour. Tous les logiciels installés et gérés par The Core Hosting ont déjà été mis à jour.

cPanel a publié une mise à jour pour atténuer la CVE-2021-44228 (et les correctifs ultérieurs) le jour même de l’annonce de la vulnérabilité. Pour plus d’informations, consultez l’article du blog de cPanel.

VPS et serveurs dédiés non gérés

Si vous disposez d’un serveur VPS non géré ou d’un serveur dédié non géré, veillez à le maintenir à jour avec les derniers correctifs de sécurité. Si vous avez besoin d’aide à ce sujet, notre incroyable équipe d’assistance est prête à vous aider ! Nous savons que ce type d’exploit peut être dangereux et parfois difficile à corriger. Alors, laissez-nous vous aider.

Si vous utilisez Log4j 2, il est très important de vous assurer que vous avez mis à jour la version la plus récente. Le premier patch incluait une autre vulnérabilité qui nécessitait un second patch.

Les utilisateurs de Java 8 (ou d’une version ultérieure) doivent effectuer une mise à niveau vers la version 2.17.0 ou supérieure.

Les utilisateurs de Java 7 doivent passer à la version 2.12.3 ou supérieure.

Les utilisateurs de Java 6 doivent passer à la version 2.3.1 ou supérieure.

Vous trouverez de plus amples informations sur le site Apache.

Pour plus d’informations sur la façon d’installer des mises à jour sur des serveurs non gérés, veuillez consulter cet article de la base de connaissances.

La ligne de fond

Heartbleed, Shellshock; la vulnérabilité de Log4j n’est que la dernière d’une longue série de bogues de sécurité. Ce n’est pas le premier, et ce ne sera sûrement pas le dernier.

Si vous avez un compte d’hébergement géré, vous pouvez être sûr que nous nous occupons de la configuration et des mises à jour du serveur pour vous. Si vous disposez d’un serveur non géré, nous vous recommandons vivement de mettre votre équipe à niveau dès que possible, ou de contacter notre service d’assistance pour obtenir de l’aide concernant cet exploit de type “Zero Day”.

Hébergement VPS

Hébergement VPS Comme son nom l’indique, la location signifie que vous partagez un serveur d’un fournisseur avec de nombreux autres sites web. Vous partagez les ressources de votre serveur avec d’autres sites web, ce qui signifie que si un site a un problème, il peut se répercuter sur votre site. Un bon hébergeur partagé essaiera d’atténuer ce problème. Certains fournisseurs d’hébergement proposent des plans partagés, qui sont souvent l’option la moins chère.

Si votre environnement d’hébergement est virtualisé, vous serez isolé des autres sites web en étant sur le même serveur physique. La technologie de virtualisation présente un niveau élevé de sécurité, de sorte que les serveurs d’autres sites web ne peuvent en aucun cas affecter l’hôte virtualisé. Si votre environnement hôte est virtualisé, il est complètement isolé des autres sites du serveur.

L’hébergement VPS est moins cher que l’hébergement web dédié car plusieurs utilisateurs contribuent au coût d’un seul serveur. Le VPS est similaire à l’hébergement partagé, mais au lieu que votre site partage un serveur avec d’autres sites, certains sites partagent l’espace et les ressources sur un serveur qui a été divisé en plusieurs environnements de serveurs virtualisés. Tout comme l’hébergement partagé, le VPS fournit une base de ressources, mais vous êtes assuré de disposer de ressources supplémentaires si votre site web connaît une augmentation de trafic.

L’hébergement VPS est un juste milieu en termes de flexibilité, de sécurité, de fiabilité et d’évolutivité. Le VPS (Virtual Private Server) est comparé à l’hébergement partagé à presque tous les égards, notamment en ce qui concerne la technologie. Un VPS est un serveur dans un environnement partagé où beaucoup plus d’un utilisateur fonctionne sur la même machine physique, et la technologie qui alloue les ressources et maintient les utilisateurs séparés est plus mature.

Les serveurs VPS peuvent être utilisés sur la même machine pour plusieurs sites web ou pour un hébergement conjoint avec certains sites web. Dans un plan VPS, le serveur physique est divisé en plusieurs serveurs virtuels pour stocker des fichiers et des pages web. Cela signifie que plusieurs sites web situés sur le serveur ne doivent pas partager les ressources.

La limitation la plus évidente est le partage de la puissance de calcul, de la mémoire, de l’espace disque et d’autres ressources sur un serveur. Avec ce partage collectif, un site sur un serveur partagé peut engloutir des ressources et ralentir les autres sites sur le serveur. On parle d’hébergement dédié lorsqu’un serveur physique dispose de ressources dédiées pour un seul utilisateur et un seul site web.

La différence entre les deux types d’hébergement est le type de serveur sur lequel votre site web est stocké. L’hébergement VPS partagé est un serveur dédié qui stocke le contenu et les fichiers de vos sites web sur un serveur distinct.

Hébergement en nuage

L’hébergement en nuage vous donne vos propres ressources partitionnées, mais elles sont réparties sur de nombreux serveurs différents dans le nuage. Une partition d’hébergement VPS, c’est comme posséder un condominium penthouse (ou plusieurs appartements) – c’est un immeuble où vous avez tout ce dont vous avez besoin mais où vous n’avez pas à partager ce dont vous avez besoin. Il offre plus d’espace pour se développer et moins de contraintes qu’un condominium numérique, car il faut plus d’espace lorsque vous hébergez votre site ou votre application sur un serveur virtuel qui vous est attribué.

L’hébergement partagé est la forme d’hébergement la moins chère si vous êtes un propriétaire de site web qui a besoin des ressources supplémentaires que l’hébergement VPS fournit. C’est le type d’hébergement idéal pour les nouveaux arrivants et les propriétaires de sites, car il est simple à mettre en œuvre et fournit des ressources de serveur suffisantes pour la phase initiale de croissance de votre site. Au niveau fonctionnel, l’hébergement VPS offre à votre site web un haut niveau de performance, d’évolutivité et de sécurité.

L’hébergement VPS est excellent en termes de fiabilité, de vitesse et de personnalisation lors du choix d’une formule d’hébergement pour un grand site web. Il vous permet de personnaliser et de configurer des applications et des logiciels afin d’améliorer les performances de vos sites web, de fournir un accès root et de vous permettre de personnaliser le backend en fonction de vos besoins. Que vous soyez un développeur de sites Web expérimenté ou une start-up locale, c’est un élément à prendre en compte.

L’hébergement partagé peut être une bonne option pour les plans à court terme pour les petits sites en ligne, mais vous aurez plus de problèmes de performance globale si votre site atteint des niveaux de trafic importants.

Les serveurs partagés offrent aux clients une bande passante, une gestion, une flexibilité et des performances, tandis que l’hôte se charge de la configuration technique, de la maintenance et de la sécurité. L’hébergement VPS partagé est associé à d’autres options courantes telles que l’hébergement dédié et l’hébergement en nuage. L’hébergement partagé est généralement moins cher car le fournisseur peut servir de nombreux clients sur un seul ordinateur.

L’hébergement VPS offre plus de ressources et tend à être plus fiable, mais coûte plus cher. Si vous utilisez un hôte de bonne réputation qui gère bien les ressources des serveurs partagés, comme HostGator, la différence entre un plan d’hébergement partagé et un VPS à faible trafic peut ne pas être évidente. Pour l’hébergement VPS, comme le coût de l’hébergement partagé est réparti entre de nombreux utilisateurs et serveurs partagés, vous pouvez vous attendre à payer plus que pour l’hébergement partagé.

Si vous avez un site Web qui nécessite un trafic moyen à élevé et beaucoup de CPU et de mémoire, comme un site WordPress avec des plugins et d’autres fonctionnalités gourmandes en base de données, vous pourriez remarquer une différence entre un compte d’hébergement partagé et un VPS avec un faible trafic sur le backend de votre site Web. Cela ne signifie pas que votre site sera en dessous de ce niveau de trafic, mais si vous avez des thèmes WordPress complexes ou de nombreuses images sur votre site, il pourrait y avoir suffisamment de trafic pour réduire les temps de chargement des pages si vous êtes en concurrence avec les ressources des serveurs d’autres personnes. En général, les sites dotés d’un VPS sont plus rapides que ceux dotés d’un hébergement partagé, ce qui peut conduire à de meilleures conversions.

Le VPS est une meilleure option si vous vous attendez à ce que votre site web reçoive plus de trafic et si vous pouvez vous permettre de payer un peu plus. Vous ne devez pas partager vos ressources avec de nombreux autres sites web.