Le BSI, l'Office fédéral de la sécurité de l'information, a émis une alerte rouge à cause de la bibliothèque Java Log4j et de sa vulnérabilité Log4Shell. Le problème conduit à une situation de menace extrêmement critique.
Selon l'Office fédéral de la sécurité de l'information (BSI), la vulnérabilité critique (Log4Shell) de la bibliothèque Java largement répandue Log4j conduit à une situation de menace extrêmement critique. Le BSI a donc mis à niveau son avertissement de cybersécurité existant au niveau d'avertissement rouge. La raison de cette évaluation est la très large distribution du produit concerné et l'impact associé sur d'innombrables autres produits. La vulnérabilité peut également être exploitée de manière triviale, une preuve de concept est accessible au public. L'exploitation réussie de la vulnérabilité permet une prise en charge complète du système affecté. Le BSI est au courant des analyses de masse dans le monde entier et à l'échelle de l'Allemagne et des tentatives de compromis. Les premiers compromis réussis sont également rendus publics.
Log4j : la vulnérabilité est trivialement exploitable
Selon le BSI, l'étendue totale de la situation de menace ne peut actuellement pas être déterminée de manière concluante. Bien qu'il existe une mise à jour de sécurité pour la bibliothèque Java Log4j concernée, tous les produits qui utilisent Log4j doivent également être adaptés. Une bibliothèque Java est un module logiciel utilisé pour implémenter une fonctionnalité spécifique dans d'autres produits. Elle est donc souvent profondément ancrée dans l'architecture des produits logiciels. Les produits vulnérables et pour lesquels il existe déjà des mises à jour ne sont actuellement pas tout à fait clairs et doivent donc être vérifiés au cas par cas. On peut s'attendre à ce que davantage de produits soient identifiés comme vulnérables dans les prochains jours.
Contre-mesures recommandées pour la mise en œuvre
En particulier, le BSI recommande aux entreprises et organisations de mettre en œuvre les mesures défensives décrites dans l'avertissement de cybersécurité. De plus, les capacités de détection et de réaction devraient être augmentées à court terme afin de pouvoir surveiller convenablement leurs propres systèmes. Dès que des mises à jour sont disponibles pour des produits individuels, elles doivent être importées. En outre, tous les systèmes qui étaient vulnérables devraient être examinés pour détecter tout compromis.
Plus sur BSI.bund.de
À propos de l'Office fédéral de la sécurité de l'information (BSI) L'Office fédéral de la sécurité de l'information (BSI) est l'autorité fédérale de cybersécurité et le concepteur de la numérisation sécurisée en Allemagne. L'énoncé de mission : Le BSI, en tant qu'autorité fédérale de cybersécurité, conçoit la sécurité de l'information dans la numérisation par la prévention, la détection et la réponse pour l'État, les entreprises et la société.