Log4Shell, une faille des plus critiques, a été découverte dans la bibliothèque de journalisation Apache Log4j. Cette dernière est utilisée dans des milliers d’applications et services. Des mesures sont sont prises en toute urgence pour y remédier.
Le 24 novembre, une faille zero-day (jamais découverte avant) a été signalé par un expert de sécurité du géant chinois Alibaba, à l’Apache Software Foundation, qui distribue la bibliothèque Log4j. L’expert a découvert qu’il était possible d’utiliser cette bibliothèque pour l’exécution d’un code se trouvant sur un serveur distant.
Cette faille a reçu immédiatement un niveau critique 10 sur 10 et baptisée Log4Shell.
Quelles sont les conséquences de Log4Shell?
Cette vulnérabilité n’expose pas seulement les sites web ou les applications web intégrant qui utilisent Java. «Un attaquant » peut potentiellement exploiter un système qui fonctionne en backend et qui traite des données.
Lors de la création de site internet ou le développement d’un logiciel, on utilise généralement des bibliothèques. Les bibliothèques permettent notamment d’utiliser des fonctions sans avoir à écrire le code nécessaire tout en s’appuyant sur des programmes déjà conçus par d’autres développeurs. Dans ce cas précis, Log4j est une bibliothèque qui sert à enregistrer l’activité (les « logs ») d’une application écrite en utilisant le langage Java ™.
Ce code non autorisé pourrait avoir des forme diverses comme l’utilisation des ressources pour du piratage, du ransomware, voir pour miner des cryptomonnaies, ou simplement la prise de contrôle complet d’un serveur en tant qu’administrateur. On ne peut pas prévoir ce que cherche un hacker, cela peut être un intérêt financier ou juste une notoriété.
Quel est le remède ?
Le vendredi 10 décembre, la fondation Apache a publié un correctif pour « colmater » la faille. Vue l’utilisation massive de Log4j, des services comme le célèbre jeu Minecraft se sont retrouvés vulnérables. De même, Cloudfare, un fournisseur de service cloud très utilisé dans le monde a affirmé avoir mis à jour ses systèmes. Au Canada, des sites gouvernementaux ont même été fermés par mesure de précaution après la divulgation de cette vulnérabilité.
Bon nombre de sociétés ont réagi à travers le monde. Amazon Web Services, Google Cloud ou encore IBM, ont reconnu que certains des services qu’elles proposent aux utilisateurs sont concernés par cette vulnérabilité, et ont assuré tout faire pour mettre en place un correctif «patch».
Et imedia.ch dans tout cela ?
Nous avons pris les mesures nécessaires pour vérifier nos hébergements chez notre partenaire Ganesh Hosting à Vevey. Les technologies utilisées sur les infrastructures n’utilisent pas cette bibliothèque. Nos développeurs ont vérifié les différents services. Nous avons pu nous assurer que nos serveurs ne sont pas touchés.
Quelques semaines agitées devant nous!
À l’heure actuelle un correctif a été publié, et les spécialistes à travers le monde sont au front pour sa mise en place. De l’autre côté, les pirates sont entrain de scanner les serveurs sur internet pour déceler les serveurs non protégés.
