TOOLinux

Le journal du Libre

La faille de Log4Shell fait toujours des ravages

vendredi 6 mai 2022

Des chercheurs en cybersécurité de Symantec, une société d’ingénierie- dont le nom n’a pas été révélé - et qui travaille dans les secteurs de l’énergie et de l’armée, a été compromise par le groupe criminel Stonefly.

"L’entreprise a été la victime d’attaquants qui ont exploité la faille Log4Shell sur un serveur public de VMware View en février de cette année. Les attaquants ont ainsi pu se déplacer sur le réseau et compromettre au moins 18 ordinateurs", explique Chris Evans, Chief Hacking Officer et CISO chez HackerOne.

Pour lui , malgré la découverte de Log4Shell il y a quatre mois, certaines organisations n’ont toujours pas la visibilité suffisante et nécessaire sur la surface qu’ils exposent aux attaques pour mettre en œuvre des correctifs de manière efficace : "Cette faille de sécurité montre pourquoi la gestion de la surface d’attaque est essentielle lorsque le paysage des menaces modernes évolue. Les gangs criminels et les groupes étatiques comme Stonefly continueront à profiter de cette brèche tant que les vulnérabilités ne sont pas corrigées."

Chez HackerOne, les hackers éthiques sautent sur l’occasion pour contribuer à la lutte contre les menaces à grande échelle comme Log4Shell : "Grâce à leur créativité et à leur intuition, ils peuvent réussir à identifier les risques cachés dont manquent les outils automatisés et les scanners. Jusqu’à présent, la communauté HackerOne a soumis des milliers de rapports sur Log4Shell, avec un total de primes de 1 million d’euro pour tous les rapports valides soumis ; c’est un petit prix à payer par rapport au coût d’une violation, calculé en moyenne à 3,7 millions € par IBM".