Résumé
New Relic a sorti minions privés conteneurisés (CPM) version 3.0.58 le 2021-12-21 pour résoudre les vulnérabilités critiques CVE-2021-44228, CVE-2021-45046 et CVE-2021-45105 dans le open source Apache Log4j.framework Un acteur malveillant peut être en mesure d'exécuter du code arbitraire en utilisant un message de log ou des paramètres de message de log .
New Relic a également sorti la version 1.0.46 de Helm Charts le 21/12/2021 pour remédier à ces vulnérabilités. La version 1.0.46 de Helm Charts contient la version 3.0.58 des CPM.
New Relic mettra à jour ce bulletin de sécurité et nos conseils clients à mesure que de nouvelles informations seront disponibles.
Vulnerability identifier: NR21-04
Priority: Critique
Logiciels concernés
Versions concernées : toutes les versions de minions privés conteneurisés (CPM) prises en charge antérieures à 3.0.58
Version corrigée : 3.0.58, également disponible via Helm Charts version 1.0.46
Version de minion privé conteneurisé (CPM) New Relic | Version d'Apache log4j |
|---|---|
3.0.55 | 2.15.0 |
3.0.57 | 2.16.0 |
3.0.58 | 2.17.0 |
Si vous utilisez Helm Charts pour mettre à jour votre configuration de CPM, vous souhaiterez implémenter la version 1.0.46 de New Relic Helm Charts. Cela mettra à jour vos CPM vers la version 3.0.58.
Éléments d'action
Pour corriger les vulnérabilités CVE 2021-44228, CVE 2021-45046 et CVE 2021-45105 dans le minion privé conteneurisé (CPM) de New Relic, nous recommandons aux clients de mettre à niveau vers la version 3.0.58 dès que possible. Cette version a été mise à jour pour utiliser la version corrigée 2.17.0 du framework Apache Log4j. Vous pouvez mettre à jour vos CPM via Helm Charts version 1.0.46.
Cette étape corrigera uniquement votre minion privé conteneurisé (CPM) de New Relic. Vous devrez peut-être également mettre à jour votre agent Java New Relic. Veuillez vous référer à la NR21-03 pour plus d'informations.
Customers using log4j directly in their applications should carefully review the Apache Log4j Security Vulnerabilities page for remediation details that should be considered.
informations sur les vulnérabilités
Une vulnérabilité de haut niveau a été divulguée publiquement pour le framework log4j le 2021-12-09. Un attaquant est capable d'exécuter du code arbitraire en utilisant un message de log ou des paramètres de message de log .
- CVE-2021-44228 CVSS 10.0
- CVE-2021-45046 CVSS 9.0
- CVE-2021-45105 CVSS 7.5
- Conseils de sécurité pour les clients New Relic concernant les vulnérabilités d'Apache Log4j
- Comment aider à identifier les systèmes avec des versions de log4j vulnérables à l'aide de New Relic
- Failles de sécurité Apache log4j
- Forum d'assistance de New Relic
Questions fréquemment posées
Historique de la publication
22 décembre 2021 : NR21-04 Révision majeure :
- Nouvelle version de correctif 3.0.58 disponible pour répondre aux problèmes CVE-2021-44228, CVE-2021-45046 et CVE-2021-45105.
- Ajout de la version 1.0.46 de Helm Charts qui contient le CPM 3.0.58 mise à jour.
17 décembre 2021 : Révision NR21-04 : Modification de la gravité et de la description technique de CVE-2021-45046.
16 décembre 2021 : NR21-04 Révision majeure :
- Modification des directives concernant la suffisance de CPM 3.0.55 contenant la version 2.15.0 de log4j pour protéger contre l'exploitation de CVE-2021-44228.
- Ajout de Helm Charts version 1.0.45 qui contient le CPM 3.0.57 mise à jour.
- Mise à jour de la description technique NIST de CVE-2021-44228.
14 décembre 2021 : NR21-04 Révision majeure :
- Nouvelle version de correctif 3.0.57 sortie pour traiter à la fois les CVE-2021-44228 et CVE-2021-45046.
- Mis à jour pour offrir une meilleure clarté entre les mises à jour de CPM de New Relic et les bonnes pratiques que les clients devraient adopter pour sécuriser leurs applications.
- Section FAQ ajoutée.
13 décembre 2021 : publication de la NR21-04
Signaler les vulnérabilités de sécurité à New Relic
New Relic s'engage à assurer la sécurité de ses clients et de vos données. Si vous pensez avoir découvert une faille de sécurité dans l'un de nos produits ou sites Web, nous vous invitons à la signaler au programme de divulgation coordonnée de New Relic. Pour plus d'informations, consultez notre documentation sur le signalement des vulnérabilités de sécurité.