Log4Shell

Carte Peu commune · n° 120530

Log4Shell, également connue par son numéro CVE-2021-44228, est une vulnérabilité zero-day exploitée par exécution de code arbitraire et touchant l'utilitaire Java Log4j. Cette vulnérabilité est divulguée à Apache par l'équipe de sécurité cloud d'Alibaba le 24 novembre 2021 et publiée le 9 décembre 2021. La vulnérabilité tire parti du fait que Log4j ne vérifie pas les requêtes LDAP et JNDI. Cela permet aux attaquants d'exécuter du code Java arbitraire sur un serveur ou un autre ordinateur. Les services concernés incluent iCloud, l'édition Java de Minecraft et Steam. LunaSec a caractérisé la vulnérabilité comme « un échec de conception aux proportions catastrophiques » et Tenable, comme « la vulnérabilité la plus importante et la plus critique de la dernière décennie ». L'Apache Software Foundation, dont Log4j est un projet, a attribué à Log4Shell une note CVSS de 10, la note la plus élevée possible.

Lire sur Wikipédia