Vulnérabilités dans Log4j

Mise à jour 19.12.2021 : De nouvelles vulnérabilités et de nouvelles façons de les exploiter sont constamment découvertes dans Log4j. Nous avons ajouté trois organigrammes (mind maps) dans le gitrepo qui décrivent respectivement version vulnérable de Log4j, comment vérifier si on est vulnérable et atténuation des différentes vulnérabilités.

Recommandation

Log4j v2.x:

• Identifier les logiciels qui utilisent Log4j version 2.x

• Atténuer les vulnérabilités dans Log4j

  • Mettre à jour les logiciels qui utilisent Log4j vers une version qui utilise Log4j 2.17.0

  Si ce qui précède n'est pas possible

  • Assurez-vous que les mesures d'atténuation pour CVE-2021-44228 et CVE-2021-45046 sont mises en œuvre, notez que vous êtes alors vulnérable aux DoS
  • Si les systèmes sont particulièrement critiques, envisagez de rechercher les Context Lookups dans les Pattern Layouts dans la configuration de Log4j2

Log4j v1.x:

• Identifier les logiciels qui utilisent Log4j version 1.x.

• Si Log4j version 1.x est utilisé dans l'entreprise, dialoguez avec le fournisseur et exigez qu'ils

  • Mette à niveau vers Log4j version 2.x
  • ou alternativement, passez à une autre bibliothèque en ce qui concerne la journalisation

Les vulnérabilités

Pour Java 8, Log4j v. 2.17.0 est la dernière version. Elle atténue toutes les vulnérabilités ci-dessus.

La version 2.16.0 atténue les pires vulnérabilités.

Pour Java 7, Log4j a été publié en version 2.12.2. Celle-ci n'atténue pas CVE-2021-45105. L'équipe derrière Log4j dit d'ailleurs que ni Java 6 ni Java 7 ne sont plus supportés. Il est incertain qu'ils publient une autre mise à jour de sécurité pour Log4j sur Java 7.

L'organigramme "Mind map #1" donne un bon aperçu des conditions pour savoir si l'on a les différentes vulnérabilités.

Créé par Loïc Castel. Tiré de github.

Détecter si on est vulnérable

Une partie du défi est que ce ne sont pas nécessairement les serveurs directement exposés à Internet qui sont vulnérables. La vulnérabilité peut se trouver dans un serveur plus loin dans la 'chaîne' qui reçoit les mêmes données et les journalise. Cela peut rendre difficile de savoir ce qui est exposé et ce qui ne l'est pas.

L'organigramme "Mind map #2" donne un bon aperçu de comment vérifier ses propres systèmes pour les vulnérabilités.

Créé par Loïc Castel. Tiré de github.

- User-agent
- Champ de recherche
- Nom d'utilisateur
- ...

Get-PSDrive -PSProvider FileSystem | foreach {(gci ($_.Root) -rec -force -include *.jar -ea 0 | foreach {select-string "JndiLookup.class" $_} | select -exp Path)}

Get-CimInstance win32_volume | Where-Object { $_.DriveType -eq 3 -and $_.DriveLetter -ne $null} | ForEach-Object {(gci ($_.DriveLetter+"\") -rec -force -include *.jar -ea 0 | foreach {select-string "JndiLookup.class" $_} | select -exp Path)}

Get-WinEvent -ListLog * |
  foreach { get-winevent @{logname=$_.logname; } -ea 0 } |
  where message -match 'jndi'

#!/bin/bash
find / -name '*log4j*.jar' -print0 2>/dev/null -print0 | while read -d $'\0' log4j; do
        echo -en "${log4j}: "$(unzip -p "${log4j}" | strings | grep -Po '^Implementation-Version:\s+([0-9\.]+)' | awk '{ print $NF }')"\n"
done
exit 0

Atténuer la vulnérabilité

L'organigramme "Mind map #3" donne un aperçu des possibilités d'atténuation.

Créé par Loïc Castel. Tiré de github.

Ci-dessous, nous avons listé quelques ressources pour effectuer les atténuations.

[Environment]:https://raw.githubusercontent.com/helsecert/cve-2021-44228/HEAD/:SetEnvironmentVariable(%22LOG4J_FORMAT_MSG_NO_LOOKUPS%22,%22true%22,%22Machine%22)

"‐Dlog4j2.formatMsgNoLookups=True"

JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true" teku --network mainnet

JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true -Xmx4g" teku

Environment='JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true"'

Environment='JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true" "-Xmx4g'

[Reflection.Assembly]:https://raw.githubusercontent.com/helsecert/cve-2021-44228/HEAD/:LoadWithPartialName(%27System.IO.Compression%27)
$JarFilLokasjon = 'C:\temp\log4j-core-2.13.0-test.jar'
$Filnavn   = 'JndiLookup.class' #Cette ligne est supprimée !

$Stream = New-Object IO.FileStream($JarFilLokasjon, [IO.FileMode]::Open)
$ZipMode   = [IO.Compression.ZipArchiveMode]::Update
$Zip    = New-Object IO.Compression.ZipArchive($stream, $ZipMode)

($zip.Entries | Where-Object { $Filnavn -contains $_.Name }) | ForEach-Object { $_.Delete() }
$zip.Dispose()
$stream.Close()
$stream.Dispose()

zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

Listes de logiciels affectés

https://github.com/NCSC-NL/log4shell/tree/main/software

https://gist.github.com/SwitHak/b66db3a06c2955a9cb71a8718970c592

https://github.com/cisagov/log4j-affected-db