Le 10 décembre 2021, un bug dans Log4J, un mécanisme de journalisation omniprésent dans de nombreuses applications Java, a été rendu public. Vous pouvez trouver des informations détaillées sur CVE-2021-44228 en cliquant ici. Ceci est une mise à jour rapide pour vous informer de la manière dont nous avons résolu les problèmes dans nos applications backend, qui sont en grande partie construites avec Java Enterprise.
- Nous avons mis à niveau les applications Spring Boot pour utiliser la dernière mise à jour de Log4J : org.apache.logging.log4j:log4j-bom:2.15.0
- Nous avons configuré les applications Spring Boot pour ignorer les requêtes JNDI : spring: jndi: ignore: true
- Chaque VM s'exécute maintenant avec l'option JVM - Dlog4j2.formatMsgNoLookups=true pour atténuer tout risque de divulgation d'informations potentielles.
- Nos services backend ne sont pas ouverts, et ils fonctionnent derrière une configuration de pare-feu/équilibrage de charge. Nous avons examiné nos journaux et nos systèmes de sécurité pour vérifier les demandes JNDI/LDAP et nous n'en avons trouvé aucune, ce qui nous amène à penser que nos systèmes n'ont pas été scannés pour ces vulnérabilités.
Vous pouvez trouver plus d'informations sur la vulnérabilité Log4J décrite dans CVE-2021-44228 sur ces liens :
- https://www.crowdstrike.com/blog/log4j2-vulnerability-analysis-and-mitigation-recommendations/
- https://spring.io/blog/2021/12/10/log4j2-vulnerability-and-spring-boot
- https://blog.cloudflare.com/actual-cve-2021-44228-payloads-captured-in-the-wild/
- https://github.com/YfryTchsGD/Log4jAttackSurface
Libérez la puissance de la glocalisation avec notre système de gestion de traduction.
Libérez la puissance de la
stème de gestion de traduction.
.avif){kind=spacer}
.avif)
.avif)
%2520(1).avif)
Les 14 premiers jours sont gratuits
Assistance de base gratuite
