Informations supplémentaires sur la vulnérabilité d’exécution du code distant Apache Log4j (CVE-2021-44228) (CVE-2021-45046)

Questions fréquentes :   

Quelles sont les failles de sécurité qui affectent actuellement Apache Log4j ? 

Dell surveille plusieurs failles de sécurité dans les bibliothèques Apache Log4j :
  

Sur quoi Dell se concentre-t-il actuellement concernant Log4j ? 

Nous nous concentrons actuellement sur la publication de solutions de contournement et de mises à jour de sécurité qui protègent au mieux nos clients contre l’exploitation active de CVE-2021-44228. La majorité de nos produits concernés migrent ou sont passés à la version Log4j 2.16, qui protège contre les vulnérabilités CVE-2021-44228 et CVE-2021-45046. Il existe un sous-ensemble plus petit qui a été déplacé vers Log4j 2.15, que nous travaillons rapidement à déplacer vers Log4j 2.16. 

Pourquoi Dell a-t-il accéléré le délai de correction de CVE-2021-45046 ? 

Au départ, CVE-2021-45046 était un problème de faible gravité, mais il est passé à un niveau de gravité critique le 16 décembre avec la découverte de contournements des protections dans Log4j 2.15. Les experts en sécurité de Dell estiment que les chercheurs et les attaquants pourraient continuer à repousser les limites de ce problème et découvrir de nouveaux vecteurs d’attaque. Pour cette raison, nous pensons qu’il est dans l’intérêt de nos clients de passer à Log4j 2.16, car il désactive les fonctionnalités vulnérables par défaut. 

Pourquoi Dell n’accélère-t-il pas les délais pour CVE-2021-45105 ou CVE-2021-44832 ? 

À l’heure actuelle, nous n’avons connaissance d’aucun attaquant exploitant CVE-2021-45105 ou CVE-2021-44832. Log4j 2.16 a également ajouté un certain nombre de protections de défense en profondeur contre les problèmes potentiels d’exécution de code à distance qui pourraient avoir un impact sur les clients. Compte tenu de ces deux faits clés, il n’y a pas encore suffisamment de preuves nous obligeant à passer à un calendrier plus serré pour la distribution de Log4j 2.17 ou Log4j 2.17.1. Notre objectif principal et continu est de nous protéger contre les vulnérabilités CVE-2021-44228, puis CVE-2021-45046. 

Nous continuerons à surveiller l’impact des vulnérabilités CVE-2021-45105, CVE-2021-44832 et de tout autre problème découvert, et nous pouvons accélérer les délais de correction si les circonstances changent. 
 
Pour plus d’informations sur ces failles de sécurité, consultez la page Failles de sécurité Apache Log4j.

Ces vulnérabilités sont-elles exploitées ?

Les attaquants recherchent activement les failles de sécurité Apache Log4j, quel que soit le fournisseur ou le fabricant. Si vous êtes un client Grand Compte, nous vous encourageons à collaborer avec votre personnel chargé de la sécurité des informations afin d’évaluer le meilleur plan d’action dès que possible.

Comment savoir quels produits Dell sont concernés ?

L’état des produits affectés, non affectés ou en cours d’examen est répertorié dans l’article 194414 de la base de connaissances. Nous mettrons régulièrement à jour ce document avec les informations les plus récentes. Nos équipes chargées des produits et de la sécurité travaillent sans relâche pour étudier et trouver des solutions pour les produits concernés le plus rapidement possible.

Mon produit Dell est concerné. Que puis-je faire pour me protéger ?

Si vous constatez utiliser un produit Dell Technologies concerné après avoir consulté l’article 194414 de la base de connaissances, installez le correctif de sécurité applicable ou suivez la solution de contournement recommandée, comme indiqué dans le document, ou revenez ultérieurement si les solutions de contournement ou les correctifs sont toujours en attente.

Nous vous encourageons à suivre les meilleures pratiques de sécurité, y compris celles recommandées par Apache. Vous pouvez avoir d’autres contrôles de sécurité dans votre environnement qui peuvent vous aider à vous protéger jusqu’à ce que vous soyez en mesure d’appliquer les correctifs. Si vous êtes un client Grand Compte, nous vous encourageons à collaborer avec votre personnel chargé de la sécurité des informations afin d’évaluer le meilleur plan d’action dès que possible.

Dois-je utiliser la solution de contournement ou le correctif si mon produit Dell est concerné ?

Compte tenu de la gravité de ces problèmes, nous vous recommandons vivement d’appliquer la première option disponible pour vous protéger au mieux contre ces vulnérabilités. Si vous appliquez une solution de contournement, n’oubliez pas d’appliquer le correctif officiel une fois disponible. Si vous êtes un client Grand Compte, nous vous encourageons à collaborer avec votre personnel chargé de la sécurité des informations afin d’évaluer le meilleur plan d’action dès que possible.

Puis-je me contenter d’appliquer un pare-feu aux produits concernés au lieu d’appliquer des correctifs ou d’utiliser la solution de contournement ?

Toutes les organisations ont des environnements et des besoins différents. C’est à vous et à votre équipe de sécurité des informations qu’il est préférable d’évaluer si une solution de contournement ou un correctif est approprié pour cette situation.

Comment savoir si mon produit est pris en charge ?

Conformément à sa Dell Vulnerability Response Policy, Dell s’efforce de corriger les produits, versions ou plateformes activement pris en charge. Pour savoir si votre produit est actuellement pris en charge, consultez l’article suivant : Tous les documents Dell EMC sur la fin de vie

Que dois-je faire si j’ai des questions ?

Si vous avez des questions après avoir consulté le document relatif aux produits concernés, contactez le support client Dell : article de la base de connaissances Apache Log4j.