Log4Shell
Vulnérabilité critique révélée en décembre 2021 dans une bibliothèque de journalisation présente dans d'innombrables logiciels, référence du cumul latent : tout le monde était exposé, sans le savoir.
Log4Shell est le nom donné à une vulnérabilité de Log4j, bibliothèque libre de journalisation en Java, révélée le 9 décembre 2021. Elle permettait à un attaquant d'exécuter du code à distance sur un serveur en lui faisant simplement journaliser une chaîne de caractères choisie, sans authentification, et elle a reçu la note de sévérité maximale. Sa gravité tenait moins à la technique qu'à l'omniprésence de la bibliothèque, incorporée dans des milliers de produits commerciaux et de services en ligne, souvent à plusieurs niveaux de dépendance, si bien que les organisations ignoraient la plupart du temps si elles l'employaient. Pour l'assurance, Log4Shell est l'archétype du cumul latent. Du jour au lendemain, une part considérable des portefeuilles cyber devenait exposée à une même faille, et le sinistre potentiel ne dépendait plus que de la vitesse de correction de chacun et de l'intérêt des attaquants. Le cumul réel s'est révélé bien plus faible que le cumul potentiel, grâce à une mobilisation rapide, mais l'épisode a accéléré la demande de nomenclatures logicielles et les réflexions sur les exclusions d'événements généralisés.
La directrice de l'agence américaine de cybersécurité a qualifié Log4Shell de l'une des failles les plus graves qu'elle ait vues de toute sa carrière. La vulnérabilité, cotée 10 sur 10, a été exploitée dans les heures qui ont suivi sa divulgation, en décembre 2021, y compris par des groupes rattachés à des États.
Log4Shell, CVE-2021-44228, faille Log4j
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.