« Log4Shell », la faille de sécurité qui sème la panique sur Internet
Une bibliothèque utilisée par le langage de programmation Java, baptisée Log4j, peut être détournée pour faire fonctionner du code non autorisé sur un serveur. De nombreuses entreprises ou administrations sont potentiellement concernées.
Une faille de sécurité particulièrement inquiétante et facilement exploitable a été rendue publique vendredi 10 décembre. Baptisée « Log4Shell », elle concerne un outil massivement utilisé dans des applications et des services Web, et peut permettre d’exécuter du code à distance sur le serveur visé.
Qu’est-ce que Log4j ?
Lorsque l’on développe un logiciel, on utilise généralement des bibliothèques. Il s’agit, entre autres, de portions de code que l’on peut « appeler » et utiliser dans son programme. Les bibliothèques permettent notamment de réaliser des actions sans avoir à écrire le code nécessaire, en s’appuyant sur des programmes déjà éprouvés et conçus par d’autres développeurs. Dans ce cas précis, Log4j est une bibliothèque du langage Java qui sert à enregistrer l’activité (les « logs ») d’une application. On peut, par exemple, l’utiliser pour s’assurer qu’un logiciel fonctionne correctement et, dans le cas contraire, noter dans un fichier des rapports d’erreur à chaque fois qu’une portion de coderencontre un problème.
Quel est le problème avec Log4j ?Le 24 novembre, un expert au sein de l’entreprise Alibaba, géant de la distribution en Chine, a signalé à l’Apache Software Foundation (la fondation qui distribue Log4j) une vulnérabilité logicielle dans plusieurs versions de son outil. Il a découvert qu’il était possible d’utiliser cette bibliothèque pour faire exécuter du code non autorisé sur un serveur utilisant Log4j.
Le rôle de cette bibliothèque est de recevoir des informations – du texte – et de les envoyer à un endroit, par exemple dans une base de données sur un serveur. Mais elle ne va pas se contenter de transmettre ce texte : « des passages peuvent être interprétés », explique Mathis Hammel, expert technique pour CodinGame, société qui anime un site pour apprendre à coder. Ainsi, si l’on arrive à envoyer des informations à Log4j, on peut utiliser certains caractères pour qu’ils soient lus et interprétés par l’outil, et il est possible de demander à l’application d’aller chercher du code sur un autre serveur et de l’exécuter.
Il est difficile de prévoir ce qu’un attaquant peut faire en exploitant cette faille, car cela dépend notamment des protections apportées par les organisations visées et de la spécificité de chaque infrastructure. Dans le pire des cas, « cette faille permet de prendre le contrôle complet du serveur en tant qu’administrateur », explique Mathis Hammel, ou de réaliser une première intrusion dans un réseau en vue d’une attaque plus large. Samedi, Microsoft a d’ailleurs annoncé avoir observé – sans toutefois préciser où – des attaquants utiliser cette faille pour installer une « balise » Cobalt Strike, un logiciel souvent utilisé par les cybercriminels pour prendre le contrôle du réseau informatique d’une entreprise.
Pourquoi est-ce inquiétant ?
La fondation Apache a publié vendredi un correctif pour colmater la faille, mais pour les organisations concernées (entreprises, administrations…), mettre à jour leurs outils peut prendre du temps, car il faut s’assurer que ce « patch » ne pose pas de problème de compatibilité.
Surtout, Log4j est massivement utilisé. Des versions du très populaire jeu vidéo Minecraft, par exemple, se sont retrouvées vulnérables, poussant l’éditeur Mojang Studios à prévenir ses utilisateurs. Egalement concerné, Cloudflare, un fournisseur de services très utilisé dans le monde, a de son côté affirmé avoir mis à jour ses systèmes et n’avoir pas repéré d’exploitation de cette faille sur ses serveurs. De même pour Steam, le géant de la distribution de jeux vidéo dématérialisée, dont certains services Web utilisent la librairie Log4j : vendredi, un employé de l’entreprise a assuré que la faille ne permettait pas d’exécuter du code non autorisé sur leurs serveurs.
Beaucoup d’autres sociétés sont concernées. « C’est vraiment très gros parce que la faille est super facile à exploiter pour quelqu’un avec un peu d’expérience en code Java, et que ça concerne un outil installé sur énormément de machines, le tout avec une information qui est tombée un week-end », souligne Mathis Hammel. Au Canada, des sites gouvernementaux ont même été fermés par mesure de précaution après la divulgation de cette vulnérabilité.
Y a-t-il déjà des exemples de piratage ?
Pour l’heure, aucune attaque n’a pu être directement reliée à l’exploitation de cette faille de sécurité par des pirates informatiques. Bon nombre de sociétés ont néanmoins publiquement réagi, comme Amazon Web Services, Google Cloud ou encore IBM, reconnaissant que certains des services qu’elles proposent aux utilisateurs sont concernés par cette vulnérabilité, et assurant tout faire pour mettre au point au plus vite un « patch », un correctif.
De nombreuses entreprises, dont Microsoft, ont récemment déclaré avoir observé une grande activité autour de cette faille. Ce sont surtout des internautes qui « scannent » massivement des serveurs à la recherche d’outils utilisant Log4j et pouvant être attaqués par le biais de cette vulnérabilité. Selon Bleeping Computer, divers exemples d’exploitation de « Log4Shell » ont d’ores et déjà été repérés : certains internautes utilisent cette faille pour installer des « cryptominers », des logiciels utilisés pour obtenir des cryptomonnaies. D’après ce site spécialisé, des « botnets », de vastes réseaux de machines vérolées pouvant être utilisées pour mener des attaques, se servent également de Log4j pour infecter de nouvelles machines.
Les commentaires sont fermés.