The Core Hosting

The Core Hosting se consacre à la sécurité proactive de votre site et s’efforce de rester à l’affût des dernières menaces pour vous tenir informé.

Apache Log4j 2, une bibliothèque de journalisation basée sur Java et développée par la fondation Apache, est utilisée par de nombreuses applications d’entreprise et services en nuage pour fournir des capacités de journalisation avancées. Selon que vous utilisez actuellement un service géré ou non géré, vous pouvez être vulnérable à cette nouvelle exploitation de type “Zero Day”. Pour les clients qui profitent des avantages d’un service géré, comme nos utilisateurs de VPS géré, d’hébergement dédié géré ou d’hébergement partagé, vous n’avez pas à vous inquiéter, car nos services ont été patchés dès qu’ils ont été disponibles. Pour tous ceux qui gèrent eux-mêmes leurs services, c’est le moment de faire une mise à jour si ce n’est déjà fait.

Le 24 novembre 2021, l’équipe de sécurité d’Alibaba Cloud a signalé à Apache une vulnérabilité d’exécution de code à distance de Log4j 2. L’exploit tire parti de certaines fonctions de Log4j qui effectuent une analyse récursive. Ce qui, avec des requêtes malveillantes spécialement construites, permet aux attaquants de déclencher l’exécution de code à distance.

La vulnérabilité a un impact sur les configurations par défaut de plusieurs frameworks Apache, notamment :

• Druide Apache
• Apache Flink
• Apache Solr
• Apache Struts2

Dans les versions d’Apache Log4j2 jusqu’à la version 2.14.1 incluse (à l’exclusion des versions de sécurité 2.3.1, 2.12.2 et 2.12.3), les fonctionnalités JNDI utilisées dans les configurations, les messages de journal et les paramètres ne protègent pas contre les points d’extrémité LDAP et autres points d’extrémité liés à JNDI contrôlés par des attaquants. Un attaquant qui peut contrôler les messages de journal ou les paramètres des messages de journal peut exécuter du code arbitraire chargé à partir de serveurs LDAP lorsque la substitution de recherche de message est activée. ^{Source :}

Le 10 décembre 2021, cette vulnérabilité a été officiellement désignée dans la base de données nationale des vulnérabilités du NIST comme CVE-2021-44228 (également connue sous le nom de vulnérabilité “Log4Shell”). Ce phénomène s’est ensuite étendu à plusieurs autres vulnérabilités découvertes, puis corrigées, répertoriées sous les noms de CVE-2021-45046 et CVE-2021-45105.

Il a été constaté que la correction de la CVE-2021-44228 dans Apache Log4j 2.15.0 était incomplète dans certaines configurations autres que celles par défaut. Lorsque la configuration de l’enregistrement utilise une disposition de modèle non par défaut avec une recherche de contexte (par exemple, $$${ctx:loginId}), les attaquants ayant le contrôle des données d’entrée de Thread Context Map (MDC) peuvent créer des données d’entrée malveillantes à l’aide d’un motif JNDI Lookup, ce qui entraîne une fuite d’informations et l’exécution de code à distance dans certains environnements et l’exécution de code local dans tous les environnements ; l’exécution de code à distance a été démontrée sur macOS mais aucun autre environnement testé.

CVE-2021-45046

Les versions 2.0-alpha1 à 2.16.0 d’Apache Log4j2, à l’exception de la 2.12.3, n’offraient pas de protection contre les récursions incontrôlées provenant de recherches autoréférentielles. Lorsque la configuration de la journalisation utilise une disposition de motif non par défaut avec une recherche de contexte (par exemple, $${ctx:loginId}), les attaquants qui contrôlent les données d’entrée de la carte de contexte de thread (MDC) peuvent créer des données d’entrée malveillantes contenant une recherche récursive, ce qui entraîne une erreur de type StackOverflowError qui met fin au processus. Cette attaque est également connue sous le nom de DOS (Denial of Service).

CVE-2021-45105

Comment la vulnérabilité vous affecte-t-elle ?

Selon le type de compte d’hébergement que vous avez avec The Core Hosting, vous pouvez ou non avoir à prendre des mesures :

Comptes WordPress partagés, revendeurs et gérés

Si vous avez un compte d’hébergement WordPress partagé, revendeur ou géré, vous n’avez rien à faire. Ces serveurs reçoivent automatiquement des mises à jour fréquentes qui incluent des correctifs pour la vulnérabilité de Log4j 2.

cPanel a publié une mise à jour pour atténuer la CVE-2021-44228 le jour même où la vulnérabilité a été annoncée. Pour plus d’informations, consultez l’article du blog de cPanel.

Managed VPS et dédiés

Si vous disposez d’un serveur dédié géré ou d’un serveur VPS géré, vous n’avez probablement pas besoin de prendre de mesures – votre serveur est mis à jour automatiquement avec des correctifs pour la vulnérabilité Log4j 2. La seule exception est que si vous avez installé un logiciel utilisant log4j en dehors de cPanel/WHM, vous devez vous assurer que ces installations sont mises à jour. Tous les logiciels installés et gérés par The Core Hosting ont déjà été mis à jour.

cPanel a publié une mise à jour pour atténuer la CVE-2021-44228 (et les correctifs ultérieurs) le jour même de l’annonce de la vulnérabilité. Pour plus d’informations, consultez l’article du blog de cPanel.

VPS et serveurs dédiés non gérés

Si vous disposez d’un serveur VPS non géré ou d’un serveur dédié non géré, veillez à le maintenir à jour avec les derniers correctifs de sécurité. Si vous avez besoin d’aide à ce sujet, notre incroyable équipe d’assistance est prête à vous aider ! Nous savons que ce type d’exploit peut être dangereux et parfois difficile à corriger. Alors, laissez-nous vous aider.

Si vous utilisez Log4j 2, il est très important de vous assurer que vous avez mis à jour la version la plus récente. Le premier patch incluait une autre vulnérabilité qui nécessitait un second patch.

Les utilisateurs de Java 8 (ou d’une version ultérieure) doivent effectuer une mise à niveau vers la version 2.17.0 ou supérieure.

Les utilisateurs de Java 7 doivent passer à la version 2.12.3 ou supérieure.

Les utilisateurs de Java 6 doivent passer à la version 2.3.1 ou supérieure.

Vous trouverez de plus amples informations sur le site Apache.

Pour plus d’informations sur la façon d’installer des mises à jour sur des serveurs non gérés, veuillez consulter cet article de la base de connaissances.

La ligne de fond

Heartbleed, Shellshock; la vulnérabilité de Log4j n’est que la dernière d’une longue série de bogues de sécurité. Ce n’est pas le premier, et ce ne sera sûrement pas le dernier.

Si vous avez un compte d’hébergement géré, vous pouvez être sûr que nous nous occupons de la configuration et des mises à jour du serveur pour vous. Si vous disposez d’un serveur non géré, nous vous recommandons vivement de mettre votre équipe à niveau dès que possible, ou de contacter notre service d’assistance pour obtenir de l’aide concernant cet exploit de type “Zero Day”.