La vulnérabilité provient de la gestion par Log4j des recherches JNDI dans les chaînes enregistrées. Un attaquant peut intégrer une ressource JNDI malveillante dans un message enregistré (par exemple LDAP, DNS), comme :

Log4j va :

1. Analyser la recherche JNDI à partir de l'entrée
2. Effectuer une recherche distante vers le serveur contrôlé par l'attaquant
3. Charger du code Java malveillant dans le cadre du processus de recherche
4. Exécuter ce code dans le contexte de l'application vulnérable

Cela permet à un attaquant d'obtenir une exécution de code à distance (RCE) complète sur les services affectés.

📊 Sévérité et CVSS

Étant donné que Log4j est utilisé dans d'innombrables bibliothèques et applications, tout système qui enregistre des données non fiables pourrait être vulnérable.

📦 Versions affectées

Les versions suivantes de Log4j 2 sont vulnérables :

De plus, certaines configurations de 2.15.0 étaient encore exploitables, donc 2.16.0 et ultérieures constituent la référence sécurisée.

🛠 Correction et correctifs

✅ Versions officielles corrigées

Mettez à jour vers les versions de Log4j 2 :

Des correctifs ultérieurs améliorent encore la sécurité (par exemple 2.17.2, 2.19.0, etc.).

🧱 Atténuations temporaires (si vous ne pouvez pas appliquer le correctif immédiatement)

Si une mise à jour immédiate n'est pas possible, vous pouvez :

• Désactiver les recherches JNDI dans la configuration de Log4j
• Définir :

• Supprimer la classe JndiLookup du classpath :

Ces étapes aident à réduire l'exposition jusqu'à ce que vous puissiez effectuer la mise à jour.

🔥 Exploitation et impact

Cette vulnérabilité est extrêmement facile à exploiter. Un attaquant n'a qu'à envoyer une chaîne spécialement conçue (par exemple via des en-têtes HTTP, des paramètres de formulaire, des messages de chat, des champs de base de données) qui sera enregistrée par l'application :

Une fois enregistrée, l'application effectuera une recherche distante et pourra être forcée à exécuter du code Java contrôlé par l'attaquant.

🌍 Impact dans le monde réel

Log4Shell a eu un impact mondial massif :

• D'innombrables services publics ont été immédiatement exposés
• Les fournisseurs de cloud, les serveurs de jeux, les applications d'entreprise, l'IoT, les services Web, les API, etc. ont été affectés
• Des communautés de sécurité entières se sont mobilisées pour détecter et corriger les systèmes vulnérables
• L'exploitation a été généralisée, automatisée et rapide

C'est l'une des vulnérabilités les plus significatives de ces dernières décennies.

🧪 Détection

Vous pouvez détecter les systèmes vulnérables en :

• Analysant les journaux pour des motifs JNDI suspects (${jndi:)
• Utilisant des scanners de vulnérabilités qui vérifient les versions de Log4j
• Surveillant le trafic entrant pour des tentatives d'exploitation
• Vérifiant le contenu du classpath pour la prise en charge des recherches JNDI

📌 Résumé

⚠️ Avis final

Si votre application ou toute bibliothèque que vous utilisez repose sur Log4j 2.x, mettez à jour immédiatement vers une version corrigée (≥ 2.17.1) et vérifiez que les recherches JNDI sont désactivées ou supprimées lorsque c'est possible.