Le correctif Log4J pour corriger le zero-day grave a sa propre vulnérabilité qui est déjà activement exploitée

Paume faciale : Les exploits de Log4J qui ont tourmenté les administrateurs de serveurs au cours de la semaine dernière se poursuivent alors que le correctif publié pour bloquer les intrusions semble avoir ses propres failles de sécurité. Certaines entreprises qui avaient déjà mis à jour vers Log4J 2.15.0 ont continué à subir des attaques d’au moins une des deux nouvelles faiblesses découvertes.

La semaine dernière, des chercheurs en sécurité notifié développeurs qu’ils avaient découvert une vulnérabilité zero-day activement exploitée dans le framework Apache Struts. La faille était dans l’utilitaire de journalisation Log4J. La Fondation Apache a publié un correctif avec la version 2.15.0 et a révélé publiquement la faiblesse au cours du week-end.

Durant les 72 heures suivant l’émission de la mise à jour, exploitation de la faille monté en flèche, avec des chercheurs qui suivent jusqu’à 100 attaques par minute et près d’un million d’incidents au total. De grandes entreprises, dont Apple, Amazon, Cisco et d’autres, se sont efforcées de combler le trou.

Presque aussi rapidement que les systèmes installaient Log4J 2.15.0, les sociétés de sécurité Praetorian et Cloudflare ont commencé à voir des attaques actives dans les systèmes corrigés. Les chercheurs ont identifié au moins deux exploits dans une nouvelle vulnérabilité identifiée comme CVE-2021-45046.

Une faiblesse, découverte mardi, a permis aux pirates d’effectuer des attaques DDoS en manipulant des « modèles de recherche de messages » et la « fonctionnalité JNDI ». Apache a maintenant désactivée ceux-ci par défaut dans Log4J 2.16.0.

Mercredi, les analystes de Praetorian ont découvert un autre exploit qui permettrait aux pirates d’exfiltrer les données des serveurs vulnérables. Praetorian a publié une vidéo de preuve de concept démontrant exfiltration sur Log4J 2.15.0 (ci-dessus). La mise à jour 2.16.0 s’en occupe également.

« Dans nos recherches, nous avons démontré que la version 2.15.0 peut toujours permettre l’exfiltration de données sensibles dans certaines circonstances », a noté Praetorian dans un avertissement de mise à niveau immédiate. « Nous avons transmis les détails techniques du problème à la Fondation Apache, mais dans l’intervalle, nous recommandons fortement aux clients de passer à la version 2.16.0 le plus rapidement possible. »

La société de sécurité Cloudflare a déclaré mercredi qu’elle était suivi CVE-2021-45046 et a déjà vu la faille activement exploitée, mais n’a pas précisé si les attaques étaient DDoS, exfiltration de données ou les deux. Il recommande également aux administrateurs système de mettre à jour Log4J 2.16.0 AU PLUS VITE.

Les deux sociétés gardent secrets les détails techniques des exploits pendant que les travailleurs de l’industrie mettent à jour leurs systèmes.