Finalement, n’installez pas Log4j 2.15. Tel est désormais le message de la fondation Apache. Initialement, elle recommandait, au contraire, de passer sur cette version, pour juguler la faille CVE-2021-44228, dite Log4Shell.
Pourquoi ce revirement ? Parce que Log4j 2.15 abrite au moins une autre faille. Identifiée CVE-2021-45046, elle est moins critique (score de base : 3,7 sur l’échelle CVSS). Mais peut tout de même, sur certaines configurations personnalisées, entraîner un déni de service. En local uniquement, sauf si on a explicitement autorisé les lookups LDAP au-delà de ce périmètre.
Que conseille maintenant la fondation Apache ? Trois solutions :
La fondation Apache n’a pas encore confirmé l’existence d’une autre vulnérabilité que des chercheurs disent avoir détectée dans Log4j 2.15. Pas de détails techniques, mais une affirmation : il existe, dans certaines circonstances, un risque d’exfiltration de données. La vidéo ci-dessous l’illustre.
Photo d’illustration © monsitj – Adobe Stock
Guardia CS, nouvel acteur sur le marché de la formation cyber post-bac en France, ajoute…
Apple intègre à la bêta d'iOS un « mode isolement » optionnel qui restreint les…
Data quality ou « observabilité des données » ? IBM préfère le second terme pour…
La Cnil adresse une forme de rappel à l'ordre aux collectivités territoriales en matière de…
Six ans après son premier bug bounty, le Département de la défense des Etats-Unis lance…
Des chercheurs attirent l'attention sur une campagne de diffusion de code malveillant par l'intermédiaire de…