Apache Log4j2 contient une vulnérabilité où les fonctionnalités JNDI ne protègent pas contre les points d'extrémité liés à JNDI contrôlés par l'attaquant, permettant une exécution de code à distance.
Action requise :Pour tous les actifs logiciels affectés pour lesquels des mises à jour existent, les seules actions de remédiation acceptables sont : 1) Appliquer les mises à jour ; OU 2) retirer les actifs affectés des réseaux de l'agence. Les mesures d'atténuation temporaires utilisant l'une des mesures fournies à https://www.cisa.gov/uscert/ed-22-02-apache-log4j-recommended-mitigation-measures ne sont acceptables que jusqu'à ce que des mises à jour soient disponibles.
Score CVSS 3.1 : 10,0 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Exploitable à distance, par le réseau, sans compte, sans action de la victime.
Probabilité d’exploitation dans les 30 jours (EPSS) : > 99,9 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
Code d’exploitation public : signalé par la NVD.
Versions concernées
6bk1602-0aa12-0tp0 firmware : versions < 2.7.0
6bk1602-0aa22-0tp0 firmware : versions < 2.7.0
6bk1602-0aa32-0tp0 firmware : versions < 2.7.0
6bk1602-0aa42-0tp0 firmware : versions < 2.7.0
6bk1602-0aa52-0tp0 firmware : versions < 2.7.0
log4j : versions ≥ 2.0.1 et < 2.3.1
log4j : versions ≥ 2.4.0 et < 2.12.2
log4j : versions ≥ 2.13.0 et < 2.15.0
D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.
Type de faiblesse
Validation d'entrée inappropriée (CWE-20) : Le produit reçoit des données d'entrée, mais ne valide pas ou valide incorrectement que ces données possèdent les propriétés requises pour les traiter de manière sûre et correcte.
Consommation de ressources incontrôlée (CWE-400) : Le produit ne contrôle pas correctement l'allocation et le maintien d'une ressource limitée.
Désérialisation de données non fiables (CWE-502) : Le produit désérialise des données non fiables sans garantir suffisamment que les données résultantes seront valides.
Injection dans langage d'expression (CWE-917) : Le produit construit tout ou partie d'une instruction de langage d'expression (EL) dans un cadre tel qu'une page serveur Java (JSP) en utilisant une entrée influencée par un composant amont, mais il ne neutralise pas ou neutralise incorrectement les éléments spéciaux qui pourraient modifier l'instruction EL prévue avant son exécution.
Chronologie
— Publication de la CVE
— Exploitation confirmée : ajout au catalogue KEV de la CISA
— Échéance de correction pour les agences fédérales américaines
Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.
Texte original de la CISA (anglais)
Apache Log4j2 Remote Code Execution Vulnerability
Apache Log4j2 contains a vulnerability where JNDI features do not protect against attacker-controlled JNDI-related endpoints, allowing for remote code execution.
Required action: For all affected software assets for which updates exist, the only acceptable remediation actions are: 1) Apply updates; OR 2) remove affected assets from agency networks. Temporary mitigations using one of the measures provided at https://www.cisa.gov/uscert/ed-22-02-apache-log4j-recommended-mitigation-measures are only acceptable until updates are available.
Autres failles exploitées de Apache Log4j2
CVE-2021-45046 — Apache Log4j2 : vulnérabilité de désérialisation de données non fiables (1 mai 2023)