Vulnérabilité critique dans Apache Log4j

Date de publication :

Une vulnérabilité critique a été découverte dans Apache Log4j, un utilitaire de journalisation. Elle peut permettre à un attaquant de provoquer une exécution de code arbitraire à distance.

CVE-2019-17571 [Score CVSS v3 : 9.8] : La classe SocketServer incluse dans Apache Log4j est vulnérable à une désérialisation de données non fiables. Un attaquant peut exploiter cette vulnérabilité en envoyant un événement de journal spécialement conçu afin de pouvoir exécuter du code arbitraire à distance. 

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Exécution de code arbitraire à distance

Criticité

  • Score CVSS v3 : 9.8

Existence d’un code d’exploitation

  • Des preuves de concept sont disponibles publiquement

Composants vulnérables

  • Apache Log4j versions 1.2.x jusqu’à 1.2.17 inclus

CVE

  • CVE-2019-17571

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Apache Log4j 1 n’est plus soutenu, il est donc fortement conseillé de passer sur Apache Log4j 2

Solution de contournement

  • Aucune solution de contournement n’est disponible

Liens