Une faille récemment découverte dans un logiciel libre courant oblige les chercheurs et les entreprises à mettre à jour leurs systèmes afin d’éviter les piratages et les attaques par ransomware.
La vulnérabilité (le bug a d’abord été identifié sous le nom de CVE-2021-44228) a été divulguée le 9 décembre. Les spécialistes ont annoncé qu’elle permet d’accéder aux serveurs, d’en prendre le contrôle et de procéder à l’exécution de codes malveillants à distance. Par ailleurs, l’utilitaire Log4j est utilisé dans un grand nombre de systèmes informatiques en entreprise. Cette faille est facile à exploiter et suscite donc de grandes craintes.
Étant donné que la faille, surnommée « Log4Shell », est très répandue et qu’elle est probablement présente dans de nombreux sites Web et applications à haute fréquentation, les utilisateurs risquent de voir leurs sites Web et applications préférés touchés.
Les entreprises de cybersécurité Mandiant et Crowdstrike ont déclaré que des groupes de pirates tentent de pénétrer les systèmes. Mandiant a expliqué à Reuters qu’il s’agissait d’« acteurs du gouvernement chinois », en d’autres termes d’agents du Parti communiste chinois (PCC).
« Étant donné que Log4j a été une solution de journalisation omniprésente pour le développement de Java Enterprise pendant des décennies, Log4j a le potentiel de devenir une vulnérabilité qui persistera au sein des environnements de systèmes de contrôle industriel (ICS) pendant des années », selon un post des chercheurs en cybersécurité de Dragos.
Un cybercriminel peut exploiter la faille en envoyant une chaîne de caractères pervertis qui sera enregistrée par la version Log4j, permettant à l’attaquant de charger un code Java arbitraire sur un serveur. La faille peut potentiellement lui permettre de prendre le contrôle du serveur.
Depuis quelques jours, des responsables fédéraux de la cybersécurité sont également en alerte face à cette vulnérabilité.
« Cette vulnérabilité est l’une des plus graves que j’ai vues dans toute ma carrière, si ce n’est la plus grave », a déclaré Jen Easterly, directrice de l’US Cybersecurity and Infrastructure Security Agency (CISA), lors d’un appel téléphonique. Epoch Times a contacté la CISA pour obtenir des commentaires.
Mme Easterly a averti : « [La CISA] s’attend à ce que la vulnérabilité soit largement exploitée par des acteurs sophistiqués et que nous n’ayons qu’un temps limité pour prendre les mesures nécessaires afin de réduire la probabilité d’incidents dommageables. »
Tout a commencé lorsque les chercheurs ont noté que les serveurs de Minecraft pouvaient être compromis par la faille, voilà qui constituait le signe avant-coureur d’une menace de très grande ampleur. La semaine dernière, Microsoft a publié des instructions sur la façon dont les joueurs pouvaient mettre à jour la version Java du jeu.
« Cet exploit affecte de nombreux services, y compris Minecraft Java Edition », a déclaré Microsoft. « Cette vulnérabilité présente potentiellement le risque de compromettre votre ordinateur. »
Dans une mise en garde, le PDG de Cloudflare, Matthew Prince n’y est pas allé de main morte, en écrivant vendredi :« [Cloudflare] a évalué que Log4J est si mauvais qu’au minimum nous allons essayer de déployer une certaine protection pour tous les clients de Cloudflare par défaut, même les clients gratuits qui n’ont pas notre [suite d’entreprise]. Nous travaillons actuellement sur la manière de le faire en toute sécurité. »
« C’est un échec de conception aux proportions désastreuses », a écrit Free Wortley, le PDG de la plateforme open-source de sécurité des données LunaSec, sur son site Web la semaine dernière.
Précisant quels services pourraient être ciblés, M. Wortley a déclaré que « des services du cloud comme Steam, Apple iCloud et des applications comme Minecraft » ont été découverts comme étant vulnérables. « Toute personne utilisant Apache Struts est probablement vulnérable. Nous avons vu des vulnérabilités similaires exploitées auparavant dans des brèches comme la violation de données d’Equifax en 2017 », a-t-il déclaré, en référence au piratage qui a permis la fuite des données sensibles de millions de personnes.
La semaine dernière, la CISA a émis une alerte sur cette vulnérabilité, tout comme l’agence de cybersécurité australienne. L’Apache Software Foundation qualifie la vulnérabilité de « critique » et a publié vendredi des moyens d’y remédier.
« Internet est en feu en ce moment même », a averti Adam Meyers, un vice-président senior de Crowdstrike. « Les gens se bousculent pour appliquer les correctifs », a-t-il déclaré à l’Associated Press, « et toutes sortes de gens se bousculent pour en profiter ».
Rejoignez-nous sur Telegram pour des informations libres et non censurées :
? t.me/Epochtimesfrance
Comment pouvez-vous nous aider à vous tenir informés ?
Epoch Times est un média libre et indépendant, ne recevant aucune aide publique et n’appartenant à aucun parti politique ou groupe financier. Depuis notre création, nous faisons face à des attaques déloyales pour faire taire nos informations portant notamment sur les questions de droits de l'homme en Chine. C'est pourquoi, nous comptons sur votre soutien pour défendre notre journalisme indépendant et pour continuer, grâce à vous, à faire connaître la vérité.
