Il est probable que la vulnérabilité Log4Shell continuera à être exploitée, car les entreprises manquent de visibilité sur leur chaîne d'approvisionnement logicielle.
Les groupes comme Lazarus en Corée du Nord restent très actifs dans l'exploitation des failles Log4Shell. (Crédit FBI)
Un an après l'application de correctifs, et malgré l'attention dont elle a bénéficié, la vulnérabilité critique Log4Shell, qui a touché des millions d'applications d'entreprise, demeure une cause fréquente de failles de sécurité, et elle devrait rester une cible privilégiée pendant un certain temps encore. Son impact durable souligne les risques majeurs posés par les failles dans les dépendances logicielles transitives et la nécessité pour les entreprises d'adopter de toute urgence des pratiques d'analyse de la composition des logiciels et de gestion sécurisée de la chaîne d'approvisionnement. Officiellement référencée sous l’appellation CVE-2021-44228, Log4Shell a été découverte en décembre 2021 dans Log4j, une bibliothèque Java open-source très répandue et utilisée pour la journalisation. Si les développeurs du projet ont rapidement créé un correctif pour cette faille divulguée à l’origine comme une faille zero day, l'adoption et le déploiement de ce correctif à grande échelle se sont avérés difficiles, car ils dépendent des codeurs qui ont utilisé ce composant dans leur logiciel pour publier leurs propres mises à jour. Le problème a été compliqué par la nature transitive de la vulnérabilité, car les projets logiciels qui incorporaient Log4j comprenaient de nombreux autres composants ou frameworks de développement tiers qui étaient eux-mêmes utilisés comme dépendances pour d'autres applications. Il n'était même pas nécessaire d'utiliser la bibliothèque Log4j elle-même pour être affecté, car la classe Java vulnérable appelée JndiManager incluse dans Log4j-core a été empruntée par 783 autres projets et se trouve désormais dans plus de 19 000 composants logiciels.
L'exploitation de Log4j « restera un défi »
...
Connu / https://tools.immae.eu/Shaarli/ind1ju?1lMvQA
Les concepts d’ouverture, d’universalité, et de libre circulation de l’information ont été au cœur des récits pour promouvoir le progrès technologique et la croissance sur Internet et le Web. Bien que ces concepts aient été instrumentalisés pour défendre les logiciels libres et la culture du libre, ils ont aussi été cruciaux dans le développement des médias sociaux
...
Cependant, ces systèmes ouverts étaient également ouverts à leur accaparement par le marché et exposés à la culture prédatrice des méga-entreprises. Dans le cas du Web, cela a conduit à des modèles lucratifs qui exploitent à la fois les structures et le contenu circulant11 dans tout le réseau.
...
Historiquement, des projets de médias sociaux alternatifs tels que GNU Social, et plus précisément Identi.ca/StatusNet, ont cherché à s’extirper de cette situation en créant des plateformes qui contrevenaient à cette forme particulière d’ouverture sur-commercialisée.
...
le Fédiverse de l’époque n’avait pas beaucoup dévié du projet d’origine d’un logiciel libre de média social fédéré, lancé une décennie plus tôt.
Par conséquent, le Fédiverse était composé d’une foule très homogène, dont les intérêts recoupaient la technologie, les logiciels libres et les idéologies anti-capitalistes. Cependant, alors que la population du Fédiverse s’est diversifiée lorsque Mastodon a attiré des communautés plus hétérogènes, des conflits sont apparus entre ces différentes communautés
...
En cherchant la déconnexion sélective et en contestant l’idée même que le débat en ligne est forcément fructueux, les communautés qui se battaient pour la défédération ont aussi remis en cause les présupposés libéraux sur l’ouverture et l’universalité sur lesquels les logiciels précédents du Fédiverse étaient construits. Le fait qu’en parallèle à ces développements, le Fédiverse soit passé de 200 000 à plus de 3,5 millions de comptes au moment d’écrire ces lignes, n’est probablement pas une coïncidence. Plutôt que d’entraver le réseau, la défédération, les communautés auto-gouvernées et le rejet de l’universalité ont permis au Fédiverse d’accueillir encore plus de communautés. La présence de différents serveurs qui représentent des communautés si distinctes qui ont chacune leur propre culture locale et leur capacité d’action sur leur propre partie du réseau, sans être isolée de l’ensemble plus vaste, est l’un des aspects les plus intéressants du Fédiverse. Cependant, presque un million du nombre total de comptes sont le résultat du passage de la plateforme d’extrême-droite Gab aux protocoles du Fédiverse, ce qui montre que le réseau est toujours sujet à la captation et à la domination par une tierce partie unique et puissante13. Dans le même temps, cet événement a immédiatement déclenché divers efforts pour permettre aux serveurs de contrer ce risque de domination.
...
étendre le protocole ActivityPub, l’un des protocoles les plus populaires et discutés du Fédiverse, en ajoutant des méthodes d’autorisation plus fortes à base d’un modèle de sécurité informatique qui repose sur la capacité des objets (Object-capability model). Ce modèle permet à un acteur de retirer, a posteriori, la possibilité à d’autres acteurs de voir ou d’utiliser ses données. Ce qui est unique à propos du Fédiverse c’est cette reconnaissance à la fois culturelle et technique que l’ouverture a ses limites, et qu’elle est elle-même ouverte à des interprétations plus ou moins larges en fonction du contexte, qui n’est pas fixe dans le temps. C’est un nouveau point de départ fondamental pour imaginer de nouveaux médias sociaux.
DAMIEN BANCAL, responsable de ZATAZ Edition, magazine en ligne et en kiosque qui traite de sécurité informatique
http://www.journaldunet.com/magazine/chat/retrans/031002_bancal.shtml
Communiquant, blogueur, blagueur - Québec / France - Fondateur de zataz.com / cybervictime.net www.damienbancal.fr
https://www.zataz.com
ZATAZ a constaté des centaines de milliers d'informations dans les mains d'un pirate