Protection contre la vulnérabilité d’Apache Log4j2 (CVE-2021-44228)

F5

Remarque : depuis la publication initiale de cet article de blog, F5 a examiné les CVE ultérieures (CVE-2021-45046, CVE-2021-4104 et CVE-2021-45105) et a déterminé que les mécanismes de protection décrits ci-dessous sont également efficaces contre ces vulnérabilités.

Depuis que la faille a été révélée le 9 décembre, les équipes de sécurité du monde entier travaillent sans relâche pour comprendre la menace que représente la vulnérabilité de sécurité d’Apache Log4j2 (CVE-2021-44228), déterminer leur niveau d’exposition et mettre en place des mesures d’atténuation. Beaucoup a été écrit sur cette vulnérabilité, également appelée Log4Shell, mais, en résumé, il s’agit d’une vulnérabilité d’exécution de code à distance, ce qui signifie que des attaquants peuvent envoyer des données spécifiques à une application vulnérable afin de déclencher une série d’actions conduisant à la compromission de l’application ciblée. Les attaquants peuvent l’exploiter de différentes manières, par exemple en faisant installer un logiciel de minage de cryptomonnaies ou en extrayant des données sensibles de l’application.

Les vulnérabilités, leur exploitation, les mesures d’atténuation et les correctifs sont toujours source de perturbations. La mission de F5 est de mettre tout en œuvre pour apporter son expertise et son soutien à ses clients. Les équipes de F5 travaillent activement à l’élaboration d’outils et de recommandations afin d’aider les équipes chargées des applications et de la sécurité, déjà surchargées, à atténuer cette menace majeure qui pèse sur l’ensemble du secteur.

Nous avons évalué nos produits et services F5 et déterminé, sur la base des informations actuellement disponibles, que les produits BIG-IP, NGINX, Silverline, Volterra et Threat Stack ne sont pas vulnérables à ces problèmes. Pour F5 Managed Services, nous avons contacté les clients par nos canaux de communication habituels. Nos avis de sécurité sur AskF5 contiendront toujours les informations les plus récentes sur nos produits et les mesures d’atténuation des vulnérabilités de Log4j :

• K19026212 : vulnérabilité d’exécution de code à distance dans Apache Log4j2 (CVE-2021-44228)
• K24554520 : vulnérabilité d’exécution de code à distance dans Apache Log4j CVE-2021-4104
• K32171392 : vulnérabilité CVE-2021-45046 d’Apache Log4j2
• K34162192 : vulnérabilité de déni de service CVE-2021-45105 dans Apache Log4j2

L’utilisation des produits et services F5 pour atténuer les vulnérabilités de Log4j constitue un moyen rapide et efficace de réduire les risques que ces CVE font peser sur votre environnement. Pour une correction à long terme, nous recommandons vivement à nos clients et à leurs équipes de développement de mettre à niveau ou de supprimer des applications (si elles ne sont plus nécessaires) toutes les bibliothèques Log4j vulnérables.

Vous trouverez ci-dessous des informations plus détaillées sur la manière dont nous vous accompagnons grâce à des solutions de sécurité complètes et réactives couvrant l’ensemble de notre gamme de produits et services.

Équipe d’intervention de F5 en cas d’incident de sécurité (SIRT)

Si vous êtes victime d’une attaque ou si vous craignez d’être exposé à une vulnérabilité, contactez le support F5 et demandez que votre dossier soit transmis à la F5 SIRT. Cette équipe est disponible 24 h/24 et 7 j/7 pour vous conseiller, qu’il s’agisse d’appliquer des correctifs aux logiciels et systèmes F5 ou de vous aider à configurer ces derniers et à utiliser des iRules afin d’atténuer les attaques ou l’exposition aux vulnérabilités.

BIG-IP Advanced WAF

F5 a publié un ensemble de signatures pour BIG-IP Advanced WAF et ASM qui bloquent les vecteurs d’attaque connus exploitant les vulnérabilités de Log4j. À l’heure où nous écrivons ces lignes, neuf signatures de l’équipe F5 Threat Research sont disponibles, dont deux qui l’étaient déjà quelques heures après la publication initiale de la CVE. Nous mettons continuellement à jour les signatures afin de renforcer la protection contre les tentatives de contournement. Veillez donc à disposer de la toute dernière version du package Attack Signature Update (ASU).

Pour en savoir plus sur la manière d’atténuer ces vulnérabilités à l’aide de votre politique BIG-IP Advanced WAF (ou ASM) existante, consultez cet avis de sécurité.

iRule BIG-IP

Pour les clients F5 BIG-IP qui n’utilisent pas les fonctionnalités Advanced WAF ou ASM, une iRule F5 peut être appliquée aux applications afin de détecter, de journaliser et de bloquer le trafic malveillant ciblant des CVE spécifiques. Notre premier avis de sécurité contient davantage d’informations et de recommandations concernant la mise en œuvre de l’iRule.

NGINX App Protect

Les clients de NGINX App Protect reçoivent les mises à jour des signatures en même temps que les clients de BIG-IP Advanced WAF, ce qui garantit une sécurité cohérente des applications, quelle que soit la plateforme F5. Pour atténuer les vulnérabilités associées au moyen de votre configuration NGINX App Protect, assurez-vous que vos signatures sont à jour, consultez ce document, et vérifiez que le type d’attaque « Injection de code côté serveur » est activé dans votre politique WAF. Des informations complémentaires sont disponibles dans un article de blog récemment publié.

WAF Volterra

Notre plateforme Volterra WAF, tout comme NGINX App Protect et BIG-IP Advanced WAF, a reçu des signatures mises à jour afin de réduire davantage toute exposition liée aux vulnérabilités de Log4j. Ces signatures sont désormais incluses dans la politique WAF par défaut et aucune action supplémentaire n’est requise de la part de nos clients Volterra WAF pour atténuer cette menace.

F5 Silverline

L’équipe F5 Silverline a mis en œuvre les mesures d’atténuation nécessaires pour protéger les applications des clients contre les vulnérabilités concernées. Le SOC de F5 Silverline surveille en permanence les menaces et appliquera les mesures d’atténuation et de protection nécessaires en coordination avec notre équipe de recherche sur les menaces et nos clients. L’équipe Silverline agit comme une extension de votre propre équipe AppSec et travaille pour votre compte 24 h/24 et 7 j/7.

Si vous avez des questions spécifiques concernant votre configuration Silverline, veuillez contacter le SOC à l’adresse suivante : support@f5silverline.com Pour en savoir plus sur les services Silverline, veuillez consulter : https://www.f5.com/products/security/silverline

Threat Stack

F5 a récemment acquis Threat Stack et se félicite des importantes capacités d’inspection, de détection et de création de rapports offertes par le service Threat Stack. Le service Threat Stack comprend déjà plusieurs règles de détection pouvant signaler une compromission de Log4j, notamment le lancement de services en tant qu’utilisateur root, l’exécution de services depuis un shell et les tentatives d’élévation de privilèges. De plus amples informations sont disponibles dans cet article de blog.

Si les services Threat Stack vous intéressent pour protéger vos applications contre les menaces Log4j actuelles, détecter les activités inhabituelles, garantir la conformité et bénéficier d’une visibilité complète sur vos applications, veuillez contacter votre représentant commercial F5 habituel ou consulter le site : https://www.threatstack.com

Shape Security

La plupart des tentatives d’exploitation d’une vulnérabilité commencent par une reconnaissance automatisée. Dans ce contexte, la solution Bot Defense de Shape Security, basée sur l’IA, constitue une première ligne de défense essentielle pour éliminer ces analyses automatisées et compliquer la tâche des attaquants qui tentent de découvrir cette vulnérabilité dans vos applications web accessibles depuis Internet. Shape AI Cloud permet une adaptation en quasi-temps réel aux attaques automatisées menées par des bots afin de suivre l’évolution constante des tactiques employées par les attaquants qui exploitent des botnets. Pour en savoir plus sur Shape, consultez la page suivante : https://www.f5.com/products/security/shape-security

Rester informé

Veuillez consulter nos avis de sécurité concernant CVE-2021-44228, CVE-2021-4104 et CVE-2021-45046 pour obtenir les informations les plus récentes sur les mesures d’atténuation de F5. Pour en savoir plus, les clients peuvent consulter les ressources suivantes :

Autres articles du blog F5

• Comment atténuer Log4j dès aujourd’hui et prévenir de futures exploitations par Catherine Newcomb et Navpreet Gill
• Enseignements tirés de Log4j : ne vous précipitez pas pour corriger la faille par Lori MacVittie

F5 Labs

• Comprendre la vulnérabilité généralisée Log4j
• Log4Shell : remettre au goût du jour les (bons vieux) principes de sécurité dans son sillage

DevCentral

• Émission en direct DC Connects sur la vulnérabilité Log4j2
• Atténuation de Log4j (CVE-2021-44228) à l’aide de signatures personnalisées d’inspection de protocole AFM
• Protégez votre cluster Kubernetes contre la vulnérabilité Apache Log4j2 à l’aide de BIG-IP

NGINX

• Atténuer la vulnérabilité Log4j avec NGINX

Threat Stack

• Détection haute précision des menaces liées à la vulnérabilité Log4j

Nous continuerons à fournir à nos clients les informations les plus récentes sur les vulnérabilités associées et ajouterons ci-dessus des liens vers les ressources pertinentes. De plus, nos clients peuvent s’abonner aux notifications concernant les nouvelles versions logicielles, les alertes de sécurité et d’autres mises à jour importantes.

_______

Par Scott Altman, directeur principal des architectes de solutions de sécurité à l’échelle mondiale chez F5

À propos de l’auteur

F5

Autres articles de F5