Depuis quelques jours, des cybercriminels exploitent massivement une vulnérabilité d’Apache Log4j, un utilitaire de journalisation basé sur Java utilisé par des millions d’entreprises.
Tribune – Dan Piazza, technical product manager chez Stealthbits, à présent une société Netwrix, fait le commentaire suivant :
« Bien qu’aucune compromission n’ait été officiellement annoncée à la suite de la vulnérabilité log4j, les chercheurs en sécurité du monde entier voient déjà des tentatives pour l’exploiter activement. Par exemple, Cloudflare constate actuellement environ 1 000 tentatives d’exploitation de la vulnérabilité log4j par seconde.
Cette vulnérabilité aura, et a déjà, un effet significatif sur l’industrie. Log4j est en effet utilisé par des milliers d’applications, de bibliothèques et de frameworks, ce qui signifie que le nombre d’organisations potentiellement impactées est pharamineux. Et, alors que les cybercriminels scannent Internet pour trouver des cibles vulnérables, si les organisations n’ont pas déjà commencé à prendre des mesures d’atténuation adéquates, il est peut-être déjà trop tard.
Pour les organisations qui doivent contenir la vulnérabilité, il est conseillé de mettre à jour le package log4j lui-même, et non simplement Java. Il s’agissait ainsi d’une idée fausse, selon laquelle cela pourrait réduire la gravité de la vulnérabilité, mais ce n’est tout simplement pas le cas. Il est également conseillé de consulter les fournisseurs de logiciels, pour voir s’ils utilisent log4j de quelque manière que ce soit ; et, si c’est le cas, s’ils ont déjà apporté des correctifs à leurs produits.
Si une organisation utilise log4j, ou un logiciel qui inclut la bibliothèque, il est alors plus sûr de supposer une violation et d’examiner les applications potentiellement affectées pour identifier tout comportement suspect. De plus, si une organisation estime qu’elle a déjà été compromise, elle doit consulter une entreprise de réponse aux incidents et supprimer tout accès réseau physique au serveur concerné.
Malheureusement, le pire est à venir, car exploiter cette vulnérabilité est aussi simple que d’obtenir une application qui utilise log4j pour enregistrer une chaîne spécifique de caractères. Après cela, l’attaquant aura l’exécution de code à distance (RCE) sur un serveur entièrement piraté. »
De même, voici les commentaires de Jérôme Warot, Vice-président, Technical Account Management, South EMEA chez Tanium :
“La faille Apache Log4j est la vulnérabilité la plus redoutable que j’ai connue de toute ma carrière, en termes de nombre de personnes et d’organisations touchées et par conséquent de gravité de l’impact.
Étant donné l’exposition potentielle des systèmes, il est important de procéder avec méthode et de prioriser les sujets. Est-ce que toutes les entreprises utilisent Log4j ? Oui, probablement, mais les vraies questions sont : Que mettre en œuvre pour ralentir, minimiser ou remédier à cette vulnérabilité avant que quelqu’un ne tente de l’exploiter ? Quels sont les systèmes les plus critiques ou exposés ?
Commencer par mettre en œuvre les mécanismes de détection et de blocage sur tous les périmètres tournés vers l’extérieur est primordial. Ensuite, travailler sur l’inventaire de tous les systèmes utilisant cette librairie est essentiel. Enfin prioriser : quels systèmes, quels impacts, etc.
Dans la phase d’inventaire, l’une des erreurs à ne pas commettre, lors de l’analyse des applications et la mise à jour de la librairie, est de s’appuyer sur des outils traditionnels de gestion des vulnérabilités. En effet, ces outils analysent les applications installées à la recherche de problèmes éventuels, mais si un package comme Log4j a été renommé ou installé dans un chemin autre que celui défini par défaut, il est probable que ces outils ne le détecteront pas. Aussi, il est préférable d’utiliser des solutions à multiples types d’analyse notamment celles qui permettent l’analyse des chaînes de configuration dans les fichiers.
Sur une approche à plus long terme, le secteur devra commencer à examiner de plus près les projets open-source comme Log4j. Ces cadres et ces outils sont largement adoptés par des milliers d’organisations, mais ils sont souvent gérés par des individus pendant leur temps libre, comme projet personnel. Il n’est généralement pas évident de savoir combien de ressources sont consacrées au maintien des normes de sécurité, mais je pense que les entreprises seront plus enclines à vérifier ce point avant d’utiliser des outils open-source à l’avenir.
Cette nouvelle faille nous rappelle une fois de plus l’importance de s’assurer d’une parfaite hygiène cyber et d’une bonne gestion de ses actifs IT. En respectant ces principes de base, vous êtes mieux préparé pour affronter une telle situation et en minimiser l’impact.”