L'Anssi réagit à la faille de sécurité Log4Shell

L'Anssi, par la voix de son directeur général Guillaume Poupard, ne s'est pas montrée aussi alarmiste que certains experts par rapport à la faille de sécurité Log4Shell. Bien qu'elle soit qualifiée de "grave", les choses devraient doucement rentrer dans l'ordre. "Dans un mois, on n'en parlera probablement plus, ça sera résiduel", a-t-il confié.

Partager
L'Anssi réagit à la faille de sécurité Log4Shell

Guillaume Poupard, le directeur général de l'Agence nationale de la sécurité des systèmes d'information (Anssi), a qualifié de "grave" la faille informatique baptisée "Log4Shell" révélée il y a quelques jours.

Il s'agit d'une vulnérabilité dans la bibliothèque open source de journalisation Log4j, développée par Apache. Elle touche un nombre de victimes potentielles très important puisque cette bibliothèque est très souvent utilisée dans les projets de développement Java/J2EE ainsi que par les éditeurs de solutions logicielles sur étagère basées sur Java/J2EE.

Un discours rassurant
Cette faille "promet des fêtes de fin d'année un peu pénibles pour beaucoup d'experts", a ajouté le directeur général, sollicité à l'occasion d'une conférence de presse à propos du futur campus consacré à la cybersécurité à la Défense le 14 décembre et cité par Le Monde. Il s'est également montré rassurant : "dans un mois, on n'en parlera probablement plus, ça sera résiduel". Un discours beaucoup moins alarmiste que celui tenu par certains experts qui qualifient Log4Shell de la plus grande vulnérabilité informatique de l'histoire.

Il reste désormais à savoir si mais surtout comment cette vulnérabilité peut être exploitée pour mener des attaques. En pratique, elle permet une exécution de code arbitraire sur un serveur vulnérable par un attaquant sans qu'il n'ait besoin de s'authentifier. Sur ce sujet, Guillaume Poupard s'est montré plutôt inquiet : "j'ai peur qu'en creusant (...) on se rende compte de conséquences qui peuvent être relativement graves". La principale crainte est que la faille ait été exploitée "depuis beaucoup plus longtemps qu'on ne l'imagine".

Québec prend des mesures drastiques
C'est l'équipe de sécurité d'Alibaba Cloud qui aurait découvert en premier cette faille et prévenu Apache, d'après les informations de Bleeping Computer. Il est donc fortement recommandé d'utiliser la version la plus récente (2.15.0) le plus rapidement possible pour éviter d'être pris pour cible par un acteur malveillant. Mais pour certains, ce n'est pas suffisant, à l'image de Québec qui a ordonné le dimanche 12 décembre la fermeture préventive de l’ensemble de ses systèmes informatiques accessibles depuis l’Internet, soit 3992 sites et services.

SUR LE MÊME SUJET

Sujets associés

NEWSLETTER L'Usine Digitale

Nos journalistes sélectionnent pour vous les articles essentiels de votre secteur.

Votre demande d’inscription a bien été prise en compte.

Votre email est traité par notre titre de presse qui selon le titre appartient, à une des sociétés suivantes...

Votre email est traité par notre titre de presse qui selon le titre appartient, à une des sociétés suivantes du : Groupe Moniteur Nanterre B 403 080 823, IPD Nanterre 490 727 633, Groupe Industrie Service Info (GISI) Nanterre 442 233 417. Cette société ou toutes sociétés du Groupe Infopro Digital pourront l'utiliser afin de vous proposer pour leur compte ou celui de leurs clients, des produits et/ou services utiles à vos activités professionnelles. Pour exercer vos droits, vous y opposer ou pour en savoir plus : Charte des données personnelles.

ARTICLES LES PLUS LUS