Le FBI et la CISA font le point sur Log4Shell
Les organisations n’ayant pas appliqué de correctifs peuvent se considérer comme compromises.
La CISA et le FBI ont publié, le 16 novembre 2022, une note de sécurité sur la faille Log4Shell, près d’un an après sa découverte. Touchant la bibliothèque de journalisation Java Apache Log4j, la vulnérabilité fut décrite à l’époque par le chef de la CISA, Jen Easterly, comme « l’une des plus graves vues dans toute ma carrière, si ce n’est la plus grave ».
Cette alerte découle d’une enquête sur une attaque informatique contre une organisation fédérale américaine, attribuée à un groupe cybercriminel travaillant pour l’Iran. Ce dernier a exploité une faille Log4Shell non corrigée dans un serveur VMware Horizon.
Les cybercriminels ont ainsi pu accéder à l’ensemble du réseau informatique de l’organisation. Ils y ont installé un logiciel malveillant de cryptominage et ont dérobé des identifiants et des mots de passe.