En coulisse
Pegasus : pas de protection, mais des mesures de sécurité
par Dominik Bärlocher
Vulnérabilitéde Log4Shell: Steam, Apple, Minecraft et bien d'autres sont vulnérables
14/12/2021
Traduction : traduction automatique
Log4Shell est l'une des plus grandes failles de sécurité de ces dernières années. L'outil de journalisation concerné, Log4j, se trouve dans pratiquement toutes les applications Java. Il y a un risque de perte de données et pire encore.
Depuis le 9 décembre 2021, Log4j est considéré comme un danger pour tous les utilisateurs de PC, de smartphones, de consoles de jeux et d'Internet en général. En effet, Log4j présente une faille qui permet à un pirate malveillant d'introduire du code arbitraire dans un système. C'est ce qu'on appelle l'exécution de code à distance.
En dehors des cercles de développeurs, Log4j ne dit rien à personne. Il ne devrait d'ailleurs pas l'être, car le composant de journalisation lit en arrière-plan des applications Java et renseigne les développeurs sur les erreurs et autres processus. Mais c'est cette bibliothèque de programmes qui ouvre la porte aux pirates malveillants. Le problème est que Log4j est extrêmement répandu, ce qui fait que de très nombreux systèmes sont vulnérables.
Sont notamment concernés :
- Apple
- Tencent
- Steam
- Baidu
- CloudFlare
- Amazon
- Tesla
- Minecraft
- VMWare
- WebEx
- ...
Cette liste n'est pas exhaustive et ne vise qu'à donner une idée de l'ampleur du problème.
La faille a été baptisée Log4Shell.
Que peuvent faire les utilisateurs contre Log4Shell ? Comment puis-je me protéger ?
Tu es en grande partie à la merci de Log4Shell. L'expert en sécurité Manuel Atug conseille les mesures suivantes:
- Sauvegarder toutes les données personnelles.
- Installer toutes les mises à jour qui seront proposées dans les jours à venir.
Que peuvent faire les administrateurs contre Log4Shell ?
Les administrateurs ont à leur disposition l'un des moyens les plus puissants. En modifiant légèrement leur système, ils peuvent bannir définitivement Log4Shell de leurs serveurs.
Log4Shell est corrigé par une mise à jour. Si Log4j fonctionne à la version 2.16.0, la faille n'est plus dans le code.
Cette mise à jour a déjà été ajoutée au dépôt officiel avant la publication de Log4Shell. C'est ce qu'on appelle la "Responsible Disclosure". Les découvreurs d'Alibaba ont collaboré avec la Apache Software Foundation et se sont engagés à garder le secret jusqu'à ce qu'Apache ait publié un correctif.
Pour savoir si une version vulnérable de Log4js fonctionne sur ton système, la société de sécurité Huntress Labs a publié le logiciel log4shell-tester. Celui-ci indique si ton système exécute log4j dans une version non actualisée.
Qu'est-ce que Log4j ?
Log4j est un composant de journalisation. Il enregistre les événements système qui peuvent être étudiés par les exploitants de serveurs afin de corriger les erreurs ou d'améliorer les performances.
Log4j n'est pas un nouveau composant, mais il est régulièrement mis à jour. Il a été inventé par le codeur Ceki Gülcü et publié en 2001. La mise à jour la plus récente avant la publication de la vulnérabilité date du 6 décembre 2021. Le correctif de la vulnérabilité a été intégré dans cette mise à jour.
Log4j est open source et peut être utilisé par tous.
Log4j est écrit dans le langage de programmation Java et est utilisé par des applications Java. Java est souvent utilisé pour le développement d'applications web.
Log4j est même si répandu que l'éditeur de sécurité Malwarebytes affirme que la faille est "partout", même sur Mars.
Qu'est-ce que Log4Shell ?
En raison de sa gravité, la faille de Log4j a reçu son propre nom. Elle s'appelle "Log4Shell". Dans les milieux de la sécurité, le terme "shell" suggère qu'une personne malveillante peut exécuter son propre code sur l'ordinateur vulnérable en utilisant la faille.
Log4Shell ne se produit pas seulement sur ton smartphone ou ton ordinateur. La faille se trouve dans toutes les applications qui utilisent Log4j. Parmi elles, de nombreux serveurs, car ils exécutent des logiciels avec Log4j.
En bref, un pirate informatique malveillant peut faire tourner n'importe quel code malveillant sur de nombreux serveurs dans le monde. Ou des composants middleware comme les commutateurs de réseau de la marque Cisco, par exemple.
Pire encore : Log4Shell est extrêmement facile à exploiter.
Qu'est-ce que l'exécution de code à distance ?
Remote Code Execution se traduit par "exécution de code à distance". Un attaquant peut se trouver aux Bahamas et exécuter du code sur un ordinateur suisse, voire le contrôler. En règle générale, cela ne devrait pas être le cas. Même sur un système Windows ou macOS, tu ne peux pas exécuter tout le code que tu veux. Si un système détecte un code malveillant, il affiche un message d'erreur et n'exécute pas le code.
L'exécution de code à distance contourne ce problème. Un attaquant peut faire n'importe quoi avec ton système. Peu importe s'il fait simplement planter ton serveur Minecraft ou s'il télécharge une copie de toutes les données des clients dans ta boutique en ligne.
Dans le cas de Log4Shell, une simple chaîne de caractères suffit pour exécuter un code étranger sur les serveurs de la plateforme de distribution de jeux Steam - sans que les mécanismes de sécurité ne se déclenchent.
Comment fonctionne Log4Shell ?
Log4Shell fonctionne en plusieurs étapes. C'est ainsi que la faille a réussi à survivre sans être détectée pendant plus d'une décennie. Log4Shell ne se déclenche que lorsque Log4j reçoit des commandes pour la "Java Naming and Directory Interface" (JNDI). Ce code malveillant, appelé "charge utile" dans le jargon technique, se présente comme suit dans le cas de l'exemple abstrait suivant :
attacker.com est un site web contrôlé par l'attaquant.
L'entreprise de sécurité LunaSec décrit le déroulement de Log4Shell comme suit :
La première phase de l'attaque donne à l'attaquant un accès au shell, la deuxième phase donne de la flexibilité à l'attaque, fait des dégâts ou vole des données.
Qui a découvert Log4Shell ?
La faille de JNDI n'est pas nouvelle. En 2016 déjà, les hackers Alvaro Muñoz et Oleksandr Mirosh ont parlé de la vulnérabilité dans JNDI lors de la conférence de sécurité Black Hat.
Log4Shell est-il utilisé par des pirates malveillants ?
On ne sait pas pour toutes les attaques ce qui a été transmis dans la charge utile. Le chercheur en sécurité John Hammond parle de "botnets et de Bitcoin Miner", mais aussi de ransomware ou de chevaux de Troie.
Et chez nous ?
"Nos propres développements, entre autres les boutiques, ne sont pas concernés par Log4Shell. Ils n'utilisent pas Java", explique Martin Wrona, Security Software Engineer chez Digitec Galaxus.
Journaliste. Auteur. Hackers. Je suis un conteur d'histoires à la recherche de limites, de secrets et de tabous. Je documente le monde noir sur blanc. Non pas parce que je peux, mais parce que je ne peux pas m'en empêcher.
En coulisse
Des informations intéressantes sur le monde des produits, un aperçu des coulisses des fabricants et des portraits de personnalités intéressantes.
Tout afficher
