Faille de sécurité : Log4Shell
« Log4Shell » // Le 10 décembre dernier, une faille de sécurité particulièrement inquiétante et facilement exploitable a été rendue publique. Baptisée « Log4Shell », elle concerne un outil massivement utilisé dans des applications et des services Web et peut permettre d’exécuter du code à distance sur le serveur visé.
En deux mots : une bibliothèque utilisée par le langage de programmation Java, baptisée Log4j, peut être détournée pour faire fonctionner du code non autorisé sur un serveur.
Le 11 décembre, Microsoft a déclaré avoir observé une grande activité autour de cette faille et a observé – sans toutefois préciser où – des attaquants l’utiliser pour installer une « balise » Cobalt Strike, un logiciel souvent utilisé par les cybercriminels pour prendre le contrôle du réseau informatique d’une entreprise.
Difficile de prévoir ce qu’un attaquant peut faire en exploitant cette faille car cela dépend notamment des protections apportées par les organisations visées et de la spécificité de chaque infrastructure, mais dans le pire des cas, « cette faille permet de prendre le contrôle complet du serveur en tant qu’administrateur », explique Mathis Hammel, expert technique pour CodinGame (société qui anime un site pour apprendre à coder) ou de réaliser une première intrusion dans un réseau en vue d’une attaque plus large.
« C’est vraiment très gros parce que la faille est super facile à exploiter pour quelqu’un avec un peu d’expérience en code Java, et que ça concerne un outil installé sur énormément de machines, le tout avec une information qui est tombée un week-end », précise Mathis Hammel.
L’Apache Software Foundation a publié vendredi un correctif pour colmater la faille, mais pour les organisations concernées (entreprises, administrations…), mettre à jour leurs outils peut prendre du temps, car il faut s’assurer que ce « patch » ne pose pas de problème de compatibilité.
Découvrez l’article complet de Florian Reynaud, paru hier dans Le Monde, qui décrypte cette faille : https://lnkd.in/dvPSK36B
