Vulnérabilité Apache Log4j

Ces derniers jours, nous avons reçu de nombreuses demandes au sujet de la vulnérabilité Apache Log4j, largement relayée par les médias. Il s'agit d'une vulnérabilité extrêmement critique, qui a reçu le nom de Log4Shell.

Dans nos services, Apache Log4j n'est utilisé que par Dovecot Solr. Ce système fournit des résultats efficaces et rapides lors d'une recherche massive dans le courrier (exclusivement en IMAP), par exemple en cherchant une chaîne de texte dans tous les e-mails depuis le champ de recherche du webmail.

Le correctif de sécurité a été appliqué le jour même où la vulnérabilité a été rendue publique, suivi de plusieurs mises à jour les jours suivants.

Le service Dovecot Solr n'étant pas exposé au public, le risque est limité (tous les systèmes ont été audités et la vulnérabilité n'a été exploitée dans aucun cas) : pour l'exploiter, l'attaquant aurait d'abord dû disposer d'identifiants valides pour une boîte mail de notre infrastructure, puis savoir que cette bibliothèque était utilisée pour les recherches.

Même avec tous les correctifs appliqués, et compte tenu des restrictions d'accès, nous avons décidé de désactiver temporairement Dovecot Solr par précaution, jusqu'à ce que les experts en sécurité aient confirmé que les correctifs sont efficaces à 100 %. Ce service n'étant pas critique, le seul inconvénient serait des recherches moins performantes dans le courrier au cours des prochaines semaines, délai au terme duquel nous pourrons réactiver ce système sans risque.