Vendredi, 10 décembre 2021, la Fondation Apache a annoncé l'existence d'une grave faille de sécurité (CVE 2021-44228) dans la plupart des versions de son utilitaire open source Log4j, un outil de journalisation très répandu qui a été intégré à des milliers — voire des centaines de milliers — d'applications logicielles et de services.
L'API JNDI (Java Naming and Directory Interface) permet aux applications Java de rechercher des données et des ressources dans des services d'annuaire externes, notamment LDAP ou DNS. Un attaquant peut exploiter la fonctionnalité JNDI et amener le système de la victime à récupérer une bibliothèque externe à partir d'un serveur qu'il contrôle. Ces commandes pourraient servir à installer des logiciels malveillants, à effacer des données, à exfiltrer des données, à copier des identifiants ou à mener d'autres actions malveillantes.
Les implications sont considérables. Des milliers d'applications logicielles, y compris des applications commerciales bien connues proposées par certains des plus grands noms du secteur des logiciels d'entreprise, sont exposées au risque d'être piratées et utilisées à des fins malveillantes.
On retrouve même ce logiciel dans des appareils du quotidien, tels que les téléviseurs et les bornes interactives en magasin. Google estime qu'environ 4 % du référentiel Maven Central Java, le plus important référentiel de paquets Java existant, est affecté par cette vulnérabilité.
Des attaques peuvent être lancées via des navigateurs Web, des lignes de commande et d'autres types d'entrées. Un chercheur en sécurité a même suggéré qu’ , en présentant un code QR soigneusement conçu à une borne de vérification des prix en magasin , les attaquants pourraient prendre le contrôle des systèmes informatiques du magasin.
Pour approfondir vos connaissances sur la compréhension et la prévention des Log4j menaces, visionnez l'enregistrement de notre webinaire.
https://youtu.be/ygaaetd-9Is
Les équipes de sécurité s'empressent de prévenir Log4j attaques
Apache a publié des correctifs pour la version Log4j qui corrigent ce problème.
La course est désormais lancée : les équipes de sécurité informatique parviendront-elles à détecter toutes les occurrences de « Log4j » dans l'ensemble de leurs logiciels, sur tous leurs terminaux, avant que les pirates n'exploitent cette vulnérabilité pour lancer des attaques ?
Les pirates ne restent pas les bras croisés. Dans les 72 heures qui ont suivi l'annonce de cette faille de sécurité, plus de 800 000 attaques ont été lancées contre des applications. Et la situation en matière de menaces ne fait qu'empirer.
- Cloudflare signale désormais plus de 1 000 attaques par heure, contre Log4j auparavant.
- Un groupe de cybercriminels basé en Chine utilise le numéro Log4j pour infecter le logiciel VMware Horizon avec NightSky, une nouvelle famille d .
- Les mineurs de cryptomonnaie ont déjà lancé des attaques contre des systèmes fonctionnant sous la version Log4j.
- Des pirates ont utilisé le port Log4j pour intégrer des appareils à deux botnets Linux, Muhstik et Mirai.
- Des pirates ont réussi à s'introduire dans des cibles de grande importance, telles que et le ministère belge de la Défense.
- Certaines suites d'outils « red team » très répandues ont intégré des fonctionnalités permettant d'exploiter Log4j vulnérabilités, rendant ainsi cette technique d'exploitation accessible à un public encore plus large.
Le logiciel « Vulnerable Log4j » pourrait être installé sur l'ordinateur de n'importe quel utilisateur final. Pire encore, il pourrait également être présent dans les sauvegardes et les images de référence, ce qui signifie que les Log4j instances supprimées ce mois-ci pourraient réapparaître à l'avenir, lorsqu'un système devra être restauré ou que de nouveaux systèmes devront être provisionnés.
La FTC attend des entreprises qu'elles corrigent les failles de sécurité, sous peine de sanctions réglementaires
Compte tenu de l'ampleur considérable de cette faille de sécurité, la Commission fédérale du commerce (FTC) des États-Unis est intervenue. Le 4 janvier 2022, elle a publié une déclaration, soulignant que la faille « Log4j » compromettait la protection des données des consommateurs, et rappelant aux entreprises que « l’obligation de prendre des mesures raisonnables pour atténuer les vulnérabilités logicielles connues relève, entre autres, de la loi sur la Commission fédérale du commerce (Federal Trade Commission Act) et de la loi Gramm-Leach-Bliley ».
Afin que personne ne sous-estime la gravité de son avertissement, la FTC évoque l'amende de 700 millions de dollars infligée à Equifax en 2017 en vertu de la loi sur la protection des consommateurs en matière de sécurité des données ( ), en raison du manquement de cette société à corriger une vulnérabilité connue d'Apache Struts. Cette négligence dans l' des correctifs fournis par des tiers a entraîné une fuite de données qui a fini par exposer les informations personnelles de 143 millions de consommateurs et terni l'image de marque d'Equifax.
La FTC ne considère pas l'article Log4j comme un motif particulier justifiant un examen réglementaire. Elle attend plutôt des entreprises qu'elles identifient et atténuent rapidement les risques similaires à l'avenir. La FTC ne pourrait être plus claire : « La FTC a l’intention d’utiliser tous les moyens légaux à sa disposition pour poursuivre les entreprises qui ne prennent pas les mesures raisonnables nécessaires pour protéger les données des consommateurs contre toute exposition résultant de la faille Log4j ou de vulnérabilités similaires qui pourraient être découvertes à l’avenir. »
Conclusion pour les équipes de sécurité : les outils et les processus que les équipes de sécurité informatique mettent en place aujourd’hui pour remédier à la vulnérabilité « Log4j » devront être utilisés de manière continue à l’avenir afin de détecter et d’atténuer des risques similaires.
Un problème persistant nécessite une solution durable
Même en faisant abstraction du fait que d'autres composants logiciels vulnérables sont inévitables, le travail de nettoyage de la version Log4j va nécessiter un effort à long terme de la part des équipes informatiques. Voici pourquoi.
Tout d'abord, plus d'un mois après l'annonce de cette faille de sécurité, sur , 40 % des téléchargements récents sur Log4J concernent des versions qui restent exposées à des risques de compromission. Cela représente 40 % de plus de 10 millions de téléchargements, ce qui offre de nombreuses opportunités aux pirates.
D'autre part, les analyses des réseaux d'entreprise révèlent non seulement la présence de versions récentes et vulnérables de Log4j , mais également de versions 1.x de cet utilitaire, dont Apache a officiellement annoncé la fin de vie sur août 2015. Cela indique également qu'il existe probablement des exemplaires du Log4j cachés dans des endroits insoupçonnés au sein de l'entreprise.
Troisièmement, même si une équipe informatique parvient à identifier et à supprimer toutes les instances vulnérables du fichier JndiLookup.class dans le système Log4j, elle doit tout de même rester vigilante face à la restauration d’instances vulnérables à partir de sauvegardes ou d’images de référence d’ . Elles doivent également se préoccuper du fait que des employés puissent télécharger des copies vulnérables sur Internet ou que des tiers utilisent des versions vulnérables, ce qui finit par offrir aux pirates des occasions de s'introduire dans le réseau.
Beyond Log4j to continuous threat hunting
Cette pratique continue va bien au-delà de la simple détection et correction des Log4j vulnérabilités en elles-mêmes. La FTC s'étant engagée à sanctionner les entreprises à l'origine de fuites de données dues à des vulnérabilités similaires à la « Log4j », une importante autorité de régulation fait savoir que les manquements de longue date en matière de gestion des correctifs ne seront plus tolérés. Tout manquement pourrait entraîner des amendes pouvant atteindre plusieurs centaines de millions de dollars.
Les équipes informatiques doivent agir dès maintenant, non seulement pour identifier et corriger les Log4j vulnérabilités, mais aussi pour mettre en place des outils et des processus permettant de détecter, de manière générale, les vulnérabilités des composants logiciels. Si, dans six mois, on découvrait qu'un autre composant logiciel libre présente une faille de sécurité, les équipes de sécurité devront réagir rapidement pour détecter et corriger toutes les instances de ce composant.
Les organisations de tous types ont besoin d'un moyen rapide, efficace et complet de détecter les composants logiciels vulnérables et de remédier aux menaces qu'ils représentent. Le simple fait d'exécuter des scripts shell pour rechercher des noms de fichiers ne résoudra pas le problème.
Ces scripts, bien qu'ils soient faciles à écrire ou à télécharger depuis un site dédié à la sécurité, passeront presque à coup sûr à côté des dépendances logicielles et des composants intégrés. Pire encore, cela provoquera une surcharge des processeurs sur les systèmes critiques de l'ensemble du réseau. Les équipes chargées de la sécurité informatique doivent effectuer des recherches rapides et approfondies sans provoquer de panne des systèmes concernés.
Comment Tanium peut vous aider
Tanium contribue à vous protéger contre les Log4j vulnérabilités grâce à la seule plateforme qui fournit des données complètes, précises et fiables sur les terminaux, à laquelle font confiance les organisations les plus exigeantes et les plus complexes au monde.
La plateforme Tanium d' , accessible via, et , identifie les instances vulnérables parmi les Log4j.
- La solution « Tanium Reveal » identifie en quelques minutes seulement les instances vulnérables, y compris celles reconditionnées par des fournisseurs tiers.
- Tanium Interact facilite le marquage des terminaux affectés et le lancement des workflows liés aux plans de reprise.
Tanium détecte également les signes d'exploitation .
- L' « Tanium Threat Response » détecte les incidents indiquant des tentatives d'exploitation sur l'ensemble des terminaux. Utilisez la fonctionnalité « Threat Response » pour isoler les terminaux présentant des signes de compromission ou d'autres activités suspectes.
Tanium aide les équipes de sécurité à remédier aux menaces et à renforcer la sécurité des terminaux contre les intrusions.
- Tanium Deploy automatise les mises à jour logicielles dès que les éditeurs publient leurs nouveaux versions.
- Tanium Interact facilite l'application des correctifs variables des systèmes.
Tanium fournit également des rapports concernant l'exposition à la vulnérabilité Log4j et à d'autres menaces.
- Tanium Comply génère des rapports sur l'ensemble des terminaux concernant les failles de configuration de sécurité et les vulnérabilités logicielles à partir de données en temps réel.
- , la solution de gestion des actifs de Tanium, vous permet de générer des rapports complets sur vos actifs en ligne et hors ligne tout en identifiant et en suivant les versions logicielles vulnérables.
Dans 94 % des entreprises, les solutions de gestion des terminaux d' ne détectent pas jusqu'à 20 % des terminaux nécessitant une protection. Tanium identifie ces terminaux négligés et propose une solution rapide et efficace pour détecter et atténuer Log4j menaces.
Tanium peut vous aider à déterminer si cette vulnérabilité affecte votre environnement. Nous proposons des outils permettant aux organisations d'identifier Log4j gratuitement. Contactez-nous dès aujourd'hui à l'adresse.
