Log4Shell : comment repérer et corriger la faille Log4j
Fin 2021, l'agence américaine de cybersécurité CISA publie ses recommandations face à une faille critique touchant une bibliothèque présente dans d'innombrables logiciels.
La faille Log4Shell, révélée en décembre 2021, touche Log4j, une bibliothèque open source de journalisation très répandue dans les applications Java. Elle permet d'exécuter du code à distance en envoyant une simple chaîne de caractères qui sera enregistrée dans un journal.
Dans son avis « Mitigating Log4Shell and Other Log4j-Related Vulnerabilities », la CISA et ses partenaires internationaux détaillent les mesures à prendre : identifier toutes les applications qui embarquent Log4j, y compris indirectement, appliquer les correctifs et surveiller les signes d'exploitation.
La principale difficulté tient à l'inventaire : beaucoup d'organisations ignoraient que leurs logiciels intégraient Log4j. L'affaire a relancé les appels à des inventaires de composants logiciels.