Si je comprends bien : en intervenant sur (au moins) une de ces 5 étapes, on peut se prémunir de l'attaque Log4Shell ? L'idéal étant sans doute d'agir sur toutes, pour avoir ceinture et bretelles et ...
Oui, surtout que, par exemple, les URL au niveau de l'étape 1 peuvent être très diverse (donc difficile à bloquer), genre construire des url avec des ${lowercase:L,lowercase:D... ou du base64 décoder plus tard.
Et me vient donc une question : l'étape 5 n'est-elle pas désactivée, par défaut ? Il me paraît inconcevable, pour des raisons évidentes de sécurité, que la configuration par défaut soit d'autoriser l'exécution d"un code Java venant de l'extérieur !
Il me semble que c'est bloquer après java 8 mais qu'il y a quand même moyen de contourner le blocage dans certains cas. Ensuite, même s'il n'y a pas d'exploitation de code, il est possible de leaker les secrets (par exemple, en incluant les variables d'environnements qui peuvent contenir des mots de passe dans le domaine et en regardans les logs dns).
« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
[^] # Re: Un schéma pour comprendre
Posté par claudex . En réponse au lien Log4Shell: RCE 0-day exploit found in log4j, a popular Java logging package. Évalué à 3.
Oui, surtout que, par exemple, les URL au niveau de l'étape 1 peuvent être très diverse (donc difficile à bloquer), genre construire des url avec des ${lowercase:L,lowercase:D... ou du base64 décoder plus tard.
Il me semble que c'est bloquer après java 8 mais qu'il y a quand même moyen de contourner le blocage dans certains cas. Ensuite, même s'il n'y a pas d'exploitation de code, il est possible de leaker les secrets (par exemple, en incluant les variables d'environnements qui peuvent contenir des mots de passe dans le domaine et en regardans les logs dns).
« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche