De quoi il s’agit

Apache log4j ist ein Framework zum Loggen von Anwendungsmeldungen in Java. Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Apache log4j ausnutzen, um Informationen offenzulegen.

Dans quelles conditions ?

Par le réseau et sans authentification. C’est la combinaison la plus dangereuse : les attaquants peuvent rechercher automatiquement les appareils accessibles.

Ce qui peut arriver dans le pire des cas

Un attaquant pourrait exploiter la faille pour

• Informationen offenzulegen

Suis-je concerné ?

Concernés selon le BSI :

• IBM Operational Decision Manager 8.11.1.0
• IBM Operational Decision Manager 9.0.0.1
• IBM Operational Decision Manager 8.11.0.1
• IBM Operational Decision Manager 8.12.0.1
• Debian Linux
• HCL Domino Rest API
• SUSE Linux
• IBM License Metric Tool
• IBM SPSS Modeler
• IBM Security Guardium Key Lifecycle Manager 4.1.1
• IBM QRadar SIEM
• IBM Security Guardium Key Lifecycle Manager 4.2

et 23 autres

La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.

Que faire ?

Mettre à jour au moins vers :

• Apache log4j 2.25.3
• Splunk Splunk Enterprise 10.4.0
• Splunk Splunk Enterprise 10.2.4
• Splunk Splunk Enterprise 10.0.7
• Splunk Splunk Enterprise 9.4.12
• Splunk Splunk Enterprise 9.3.13
• IBM License Metric Tool 9.2.44
• IBM Planning Analytics Local 2.1.22
• IBM QRadar SIEM 7.5.0 UP16

La faille est-elle déjà exploitée ?

Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.