Actu
Vulnérabilité dans la logithèque Log4j : une des pires vulnérabilités de cette décennie
décembre 2021 par Candid Wüest, Vice-Président de la recherche sur la cyberprotection chez Acronis
La vulnérabilité Log4shell dans Log4j est définitivement dans le top-5 des vulnérabilités les plus graves de la dernière décennie, celle qui permet l’exécution de code à distance (RCE). Elle est comparable à EternalBlue, utilisée par WannaCry, ou à la vulnérabilité ShellShock de Bash. Ce qui la rend si grave, c’est la simplicité avec laquelle elle peut être exploitée à distance, ainsi que le nombre considérable d’applications qui l’utilisent. En outre, il faut plus de temps pour la corriger, car il ne s’agit pas d’un seul logiciel vulnérable à mettre à jour, mais plutôt d’une bibliothèque incluse dans de nombreuses applications, ce qui nécessite l’installation de nombreuses mises à jour différentes.
La liste des applications touchées continue de s’allonger, à mesure que les entreprises complètent leur analyse. Parmi les applications touchées figurent déjà Steam, Minecraft, Blender, LinkedIn, VMware et bien d’autres. L’impact peut aller de l’interruption du service à l’exécution d’un logiciel malveillant qui dérobe toutes les données des clients. Ces attaques pourraient entraîner une recrudescence des violations de données et l’ajout de nouveaux ordinateurs aux réseaux de zombies en vue de futures attaques.
De nombreuses organisations font actuellement des heures supplémentaires pour identifier si l’un de leurs logiciels utilisés est exposé à la vulnérabilité log4shell. Des logiciels tels que VMWare, WebEx et PulseSecure VPN étant affectés, cela peut entraîner des temps d’arrêt et des perturbations pendant que des mesures d’atténuation sont prises. Comme la vulnérabilité a été exploitée pendant plusieurs jours déjà, les équipes de sécurité doivent analyser si elles ont été compromises et si une porte dérobée a été installée par les attaquants. Les attaques vont des nuisances - comme les mineurs de crypto-monnaies - aux backdoors et aux ransomwares, qui peuvent compromettre l’ensemble de l’organisation.
Qu’est-ce que Log4j : Log4j est une bibliothèque Apache Java qui est souvent ajoutée à d’autres applications pour gérer la journalisation des données - par exemple, dans des fichiers texte. Elle est très populaire, car elle est simple à utiliser, et des milliers d’applications l’utilisent. La vulnérabilité de log4shell (CVE-2021-44228) fonctionne parce que l’application permet de charger des valeurs dynamiques via l’interface JNDI (Java Naming and Directory Interface). Ces données ne sont pas correctement validées et peuvent permettre à un attaquant distant d’envoyer des commandes arbitraires, qui seront ensuite exécutées sur le système. Dans le pire des cas, cela peut installer une porte dérobée, qui accordera un accès complet au système à l’attaquant.
