Qu’est-ce que la vulnérabilité Apache Log4J (Log4Shell) ?

Découverte par les chercheurs d’Alibaba le 24 novembre 2021, Log4Shell a été classée comme une vulnérabilité critique avec un score CVSS parfait de 10,0. En tant que faille de type zero-day dans la bibliothèque de journalisation Log4J, largement utilisée, elle représentait un risque immédiat et majeur avant la publication d’un correctif.

L’adoption massive de Log4J dans les applications web, les services cloud et les systèmes grand public signifiait que plus de 90 % des environnements cloud étaient vulnérables. De nombreuses organisations ignoraient même qu’elles étaient exposées, Log4J étant souvent utilisé en tant que dépendance indirecte.

Ce qui rendait Log4Shell particulièrement dangereux, c’était sa simplicité d’exploitation – aucun accès privilégié n’était nécessaire. Les attaquants pouvaient injecter du code malveillant via des entrées utilisateur simples comme des champs de connexion ou des boîtes de discussion. Une fois activé, le code pouvait transmettre des charges utiles à d’autres parties du système.

Dès le 9 décembre, un code d’exploitation public avait été publié et des entreprises majeures comme Minecraft, Twitter et Cisco étaient touchées. Au plus fort de l’activité, plus de 100 attaques par minute ont été enregistrées dans le monde entier.

Les attaquants ont exploité la faille pour déployer des botnets, des cryptomineurs et des ransomwares (comme Khonsari ou Night Sky), et même des groupes soutenus par des États tels que la Chine ou la Corée du Nord ont été observés en train de l’exploiter.