{"id":18255,"date":"2021-12-13T17:39:05","date_gmt":"2021-12-13T15:39:05","guid":{"rendered":"https:\/\/www.kaspersky.fr\/blog\/?p=18255"},"modified":"2021-12-13T17:39:05","modified_gmt":"2021-12-13T15:39:05","slug":"log4shell-critical-vulnerability-in-apache-log4j","status":"publish","type":"post","link":"https:\/\/www.kaspersky.fr\/blog\/log4shell-critical-vulnerability-in-apache-log4j\/18255\/","title":{"rendered":"Une vuln\u00e9rabilit\u00e9 critique d\u00e9tect\u00e9e dans la biblioth\u00e8que Log4j d’Apache"},"content":{"rendered":"

Plusieurs m\u00e9dias ont signal\u00e9 la d\u00e9couverte de la vuln\u00e9rabilit\u00e9 critique CVE-2021-44228<\/a> dans la biblioth\u00e8que Log4j d\u00e9velopp\u00e9e par Apache, avec un score CVSS de 10 sur 10. Des millions d\u2019applications Java utilisent cette biblioth\u00e8que pour enregistrer les messages d\u2019erreur. Pire encore, les cybercriminels utilisent d\u00e9j\u00e0 activement cette faille de s\u00e9curit\u00e9. Ainsi, l\u2019Apache Foundation recommande aux d\u00e9veloppeurs de mettre \u00e0 jour la biblioth\u00e8que et d\u2019installer la version 2.15.0 et, si cela s\u2019av\u00e8re impossible, d\u2019utiliser une des m\u00e9thodes d\u00e9crites sur la page Apache Log4j Security Vulnerabilities<\/a><\/em>.<\/p>\n

Pourquoi la vuln\u00e9rabilit\u00e9 CVE-2021-44228 est-elle si dangereuse<\/h2>\n

La vuln\u00e9rabilit\u00e9 CVE-2021-44228, aussi connue comme Log4Shell ou LogJam, appartient \u00e0 la cat\u00e9gorie d\u2019ex\u00e9cution de code \u00e0 distance<\/a>. Si les cybercriminels arrivent \u00e0 l\u2019exploiter dans un des serveurs, ils peuvent ex\u00e9cuter un code arbitraire et potentiellement prendre le contr\u00f4le du syst\u00e8me.<\/p>\n

La vuln\u00e9rabilit\u00e9 CVE-2021-44228 est facilement exploitable et c\u2019est pour cela qu\u2019elle est aussi dangereuse. M\u00eame un d\u00e9butant peut r\u00e9ussir l\u2019attaque en exploitant cette faille de s\u00e9curit\u00e9. Selon les chercheurs, les cybercriminels n\u2019ont qu\u2019\u00e0 obliger l\u2019application \u00e0 \u00e9crire une cha\u00eene dans le registre. Ils pourront ensuite t\u00e9l\u00e9charger leur propre code dans l\u2019application gr\u00e2ce \u00e0 la fonction de substitution\u00a0de\u00a0recherche\u00a0de\u00a0message.<\/p>\n

Des preuves de concept (PoC)<\/a> d\u2019attaques qui exploitent la faille CVE-2021-44228 sont d\u2019ores et d\u00e9j\u00e0 disponibles sur Internet. Ainsi, il n\u2019est pas surprenant que les entreprises de cybers\u00e9curit\u00e9 enregistrent des analyses massives de r\u00e9seaux \u00e0 la recherche d\u2019applications vuln\u00e9rables ou d\u2019attaques qui visent les pots de miel (honeypots<\/em>).<\/p>\n

Cette vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 d\u00e9couverte par Chen Zhaojun de l\u2019\u00e9quipe de s\u00e9curit\u00e9 Cloud d\u2019Alibaba.<\/p>\n

Qu\u2019est-ce que la biblioth\u00e8que Apache Log4J et pourquoi est-elle si populaire<\/h2>\n

Apache Log4j fait partie du projet Apache Logging. De mani\u00e8re g\u00e9n\u00e9rale, cette biblioth\u00e8que est une des m\u00e9thodes les plus faciles pour enregistrer les erreurs et c\u2019est pourquoi la plupart des d\u00e9veloppeurs Java l\u2019utilisent.<\/p>\n

Les grandes entreprises de logiciels et de services en ligne utilisent la biblioth\u00e8que Log4j, dont Amazon, Apple iCloud, Cisco, Cloudflare, ElasticSearch, Red Hat, Steam, Tesla, Twitter, et bien d\u2019autres. Comme cette biblioth\u00e8que est si populaire, certains chercheurs en s\u00e9curit\u00e9 informatique s\u2019attendent \u00e0 une augmentation significative du nombre d\u2019attaques sur les serveurs vuln\u00e9rables au cours des prochains jours.<\/p>\n

\n

#Log4Shell<\/a> pic.twitter.com\/1bKDwRQBqt<\/a><\/p>\n

\u2014 Florian Roth (@cyb3rops) December 10, 2021<\/a><\/p><\/blockquote>\n