13 décembre 2021 : Suite à la découverte de la vulnérabilité RCE Log4j, impactant un composant de la fondation Apache, AB6 a mené une analyse approfondie de l’ensemble de ses services et infrastructures ASTAGIA.

Nous confirmons que sur l’ensemble des composants et services ASTAGIA fournis à nos clients, nous avons pris les mesures correctives immédiates nécessaires pour corriger les composants qui présentaient la vulnérabilité Log4j.

Quelle est cette vulnérabilité ?

CVE-2021-44228 est une vulnérabilité dite ZeroDay, présente dans le code d’un composant logiciel Log4j, développé par la fondation Apache, et permet de traiter facilement des logs applicatifs (journaux de transaction) pour analyse ou pour traçabilité.

Cette vulnérabilité peut être exploitée en envoyant une chaine de texte précise, qui ordonne au composant, en retour d’ouvrir un contrôle distant du serveur hôte, et ensuite de déposer des fichiers, scripts, et d’exécuter des commandes, internes ou externes.

Si le composant qui comporte cette vulnérabilité est accessible depuis Internet sans restriction, cette vulnérabilité est considérée comme maximale.

Pourquoi et comment Astagia a été sécurisé ?

L’application ASTAGIA en elle-même n’est pas impactée car l’équipe de développement qui conçoit l’application n’utilise pas le composant Log4j dans ses développements.

L’équipe qui exploite l’application ASTAGIA et sa plateforme technique utilise deux composants dans ses opérations de traçabilité et d’analyse qui ont été impactés par la vulnérabilité Log4j. Aucun de ces composants ne sont exposés à Internet, car en utilisation interne et confinée exclusivement. Ces deux composants ont été mis à jour et corrigés le lendemain de la découverte de la vulnérabilité.

Pour plus d’information, vous pouvez nous contacter ici.