• Buzz chaud du moment
  • Buzz chaud du moment
Actualités

Log4Shell, Spring4Shell (Log4j) : des vulnérabilités encore de mises, depuis les mises en lumières insécuritaires en Décembre 2021 ! (Log4patch…)

Spring4Shell : instances non-patchées (Juin 2022)

 

Log4Shell : instances non-patchées (Juin 2022)

 

Alors que la fin d’année 2022 se profile laborieusement mais sûrement, les mises en relief, en Décembre 2021 de Log4Shell (CVE-2022-44228) puis, en Mars 2022, des solutions Spring(4Shell) avaient débouchées sur des patchs sécuritaires qui ont été largement appliqués par les administrateurs-système ou les entreprises ; ou presque : au 9 Juin 2022, un rapport de Trustwave pointe encore de nombreux pays (et instances) qui n’ont pas appliqués lesdits patchs…

 

 

En tête la Russie (18 %) puis, à part égale, l’Allemagne et les Etats-Unis (15 %) suivis de la Chine (6 %), du Japon (5 %), du Royaume-Uni (3 %), le reste des pays cités (dont la France) représentant respectivement 2 % des instances non couverte par ces patchs. En tout et pour cette assignation de faille, cela représenterait, sur la planète, 0,3613 % des instances, selon Shodan.

 

Concernant Spring4Shell (CVE-2022-22965), le constat est encore plus avancé avec la Chine en tête (36 %), les Etats-Unis (27 %), l’Ireland et l’Allemagne (5 %), la République de Corée et Hong-Kong (4 %) voire 2%, concernant l’Inde, Singapour et la Russie. Concernant cette vulnérabilité (assignation), le ratio, selon Shodan, est estimé à 0,0758 %.

 

En contraste avec d’autres menaces sécuritaires critiques, Log4Shell atteint la même densité (en terme de persistance insécuritaire : non-application des patchs, encore une fois !) que la faille Atlassian Confluence RCE (CVE-2022-26134).

Outre la nécessité d’appliquer la mise à jour sans plus attendre, il est conseillé de redoubler les efforts en matière de veille sécuritaire, pour les administrateurs-système ou réseau en décortiquant ou établissant des règles pour les droits ou privilèges, par type de compte. Il est également souligner que tendre l’oreille aux équipes de sécurité (en entreprise, d’un responsable à un autre, surtout quand l’un n’est pas spécialisé dans ce domaine alors qu’il doit prendre des décisions sur un domaine peu ou prou connu…) surtout lorsqu’il est avancer certaines recommandations en interne (investissement serveur – question du budget… – actualisation environnement, mesures à pratiquer par service) pour limiter les intrusions sécuritaires AVANT qu’elle ne se produise et que le pire (notamment les données) n’arrive… A veiller !

 

 

 

 

Source : Trustwave – 25 Août 2022 – Bilan sécuritaire 2021 (jusqu’à mi-Juin 2022) sur plusieurs vulnérabilités critiques sur la planète dont Log4j (Log4Shell, Log4Spring).

50% J'apprécieVS
50% Je n'apprécie pas



  • Pas de commentaire

    Laisser un commentaire

    ;) :zzz: :youpi: :yes: :xmas: :wink: :whistle: :warning: :twisted: :sw: :sleep: :sg1: :schwarzy: :sarko: :sante: :rollol: :roll: :rip: :pt1cable: :popcorn: :pff: :patapai: :paf: :p :ouch: :oops: :o :non: :na: :mrgreen: :mdr: :macron: :love: :lol: :kissou: :kaola: :jesuisdehors: :jap: :ilovesos: :idea: :houra: :hello: :heink: :grumpy: :fume: :frenchy: :fouet: :fouet2: :first: :fessee: :evil: :dispute: :demon: :cryy: :cry: :cpignon: :cool: :cassepc: :capello: :calin: :bug: :boxe: :bounce: :bluesbro: :bisou: :babyyoda: :assassin: :arrow: :annif: :ange: :amen: :D :??: :?: :/ :-| :-x :-o :-P :-D :-? :-8 :-1: :+1: :) :( 8-O

    Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.

    Copyright © Association SOSOrdi.net 1998-2022 - v1.14.0