La faille Apache Log4j Log4Shell est l’une des vulnérabilités les plus critiques de l’histoire de la cybersécurité.
Des centaines de millions d’appareils utilisent le composant Log4j pour divers services en ligne, notamment au sein d’organismes publics, d’infrastructures critiques, d’entreprises et chez des particuliers.
En réalité, presque tous les logiciels utilisent cette bibliothèque écrite en Java : il s’agit donc d’un risque et d’un problème extrêmement répandus. C’est aussi pourquoi les pirates exploitent activement cette faille depuis sa divulgation publique l’an dernier, en utilisant parfois des POC (preuves de concept) publics, que l’on trouve très facilement sur GitHub, et l’exploit est notoirement facile à utiliser.
Les chercheurs de Zectonal ont révélé un nouveau vecteur d’attaque particulièrement important qui peut exploiter cette faille tristement célèbre : les pipelines de données et les lacs de données. Les chercheurs montrent comment des pirates pourraient empoisonner l’IA et l’apprentissage automatique pour contourner la détection.
Le payload infecté pourrait être injecté dans des fichiers de Big Data utilisés pour entraîner une IA. Selon les chercheurs, une telle attaque est très difficile à anticiper et à détecter. Ils ont essayé d’utiliser les processus et architectures cloud les plus réalistes pour démontrer la gravité de la menace.
L’objectif de l’exploit est d’empoisonner les modèles d’IA ciblés et les outils d’analyse associés, rendant toute l’infrastructure de données inefficace. En introduisant des payloads malveillants dans la chaîne d’approvisionnement mondiale des données, les pirates pourraient infliger des dégâts paralysants à leurs victimes.
À lire également : Les meilleurs outils de débogage et de sécurité du code
Comprendre l’attaque visant le Big Data
Les pipelines de données sans code utilisés dans le cadre de l’étude sont particulièrement intéressants pour un attaquant, car « le flux de données ne transite jamais par un quelconque pare-feu ou dispositif d’analyse avant d’être traité et d’accéder finalement à un système vulnérable ».
Les chercheurs ont délibérément utilisé une architecture courante basée sur le cloud, des systèmes de stockage (par exemple, des buckets) et des applications ETL (extraire, transformer, charger). Ils ont également appliqué des configurations et des fichiers standard, puis dissimulé leur payload (la chaîne conçue pour exploiter la faille Log4Shell) dans un seul point de données parmi les millions disponibles :
Le processus ETL combine des données provenant de plusieurs sources au sein d’un même ensemble de données. Les applications ETL sont essentielles aux flux de travail d’analyse des données et d’apprentissage automatique, car elles nettoient et organisent les données selon des règles précises répondant aux besoins de veille stratégique.
Les chercheurs sont parvenus à obtenir immédiatement une exécution de code à distance depuis un cloud virtuel privé via l’Internet public. Plus précisément, ils ont obtenu un accès à distance à un service logiciel ETL sans code doté d’adresses IP de sous-réseau privées, qui faisait partie d’un VPC (cloud privé virtuel) hébergé par un fournisseur de cloud public.
Un tel exploit inspirera probablement d’autres attaques, car l’IA est utilisée pour répondre à de nombreux besoins et services avancés. Des systèmes critiques comme les véhicules intelligents, les services de santé, la finance et les chaînes d’approvisionnement peuvent être et sont automatisés grâce à l’apprentissage profond.
Les entreprises utilisent déjà l’IA pour identifier des schémas et des tendances dans l’analyse des clients afin de repérer des opportunités commerciales. Les failles qui permettent à une telle stratégie furtive d’accéder aux lacs de données doivent être corrigées rapidement.
Pour exploiter la vulnérabilité Log4Shell, les chercheurs ont attaqué le composant Logstash de la pile ELK (Elasticsearch, Logstash et Kibana), un système open source de gestion des journaux très populaire qui affiche des millions de téléchargements.
Ces plateformes sont largement utilisées par les entreprises pour extraire et analyser des données. Si les dernières versions ont corrigé la vulnérabilité Log4Shell, les chercheurs ont réussi à exploiter des versions publiées juste avant la divulgation de Log4Shell, en combinaison avec Java 8.
Les chercheurs ont exploité une combinaison classique de vecteurs au sein des entreprises : plusieurs composants obsolètes qui finissent par mener au désastre.
À lire également : Les meilleurs outils de gestion des vulnérabilités
Prévenir les exploits visant l’IA et l’open source
Les chercheurs ont cité le rapport 2021 de Synk sur l’écosystème JVM, qui a constaté que « 60 % des développeurs Java utilisent encore Java 8 en production ». De fait, de nombreux systèmes d’entreprise utilisent des bibliothèques obsolètes, exposant des organisations entières à un risque élevé.
Si une gestion agressive des correctifs peut entraîner des coûts importants et une complexité opérationnelle accrue, les utilisateurs et les administrateurs doivent connaître les composants matériels et logiciels vulnérables ou devant être retirés. Les attaquants ont désormais accès à une vaste gamme d’outils de piratage avancés capables de cartographier les vulnérabilités et de fournir des payloads préconfigurés pour les exploiter.
La chaîne d’approvisionnement logicielle est vulnérable aux attaques, et la bibliothèque open source Log4j en est un exemple frappant. En réalité, l’open source occupe une place croissante dans les applications et les projets de développement des entreprises, et sécuriser les différents écosystèmes associés ne sera ni gratuit ni facile. Les dépendances sont proprement vertigineuses.
Sécuriser tout cela peut sembler coûteux, mais le coût des cyberattaques réussies est bien plus élevé — et peut, dans certains cas, entraîner la faillite des organisations.
La Open Source Security Foundation (OpenSSF), une organisation open source de premier plan associée à la Linux Foundation, a récemment annoncé « un plan ambitieux et multidimensionnel comportant 10 objectifs clés pour mieux sécuriser l’ensemble de l’écosystème logiciel open source ». Le programme coûte 150 millions de dollars, dont plus de 30 millions ont déjà été promis par des géants de la technologie comme Amazon, Ericsson, Google, Intel, Microsoft et VMWare.
Le plan pourrait aider les développeurs à corriger les problèmes, notamment grâce à la formation, fournir des audits de sécurité et encourager l’utilisation de la signature authentifiée des paquets pour distribuer les composants logiciels. L’initiative profitera probablement à de nombreux acteurs de la chaîne d’approvisionnement logicielle, notamment dans le secteur public.
Ce n’est pas la première fois que la Linux Foundation tente de contribuer à la sécurisation du monde open source, mais l’état actuel de la chaîne d’approvisionnement logicielle est enfin suffisamment dégradé pour que des dirigeants clés acceptent d’agir ; espérons qu’il ne soit pas trop tard pour revenir en arrière.
Qu’il s’agisse de développeurs qui s’auto-sabotent en raison d’un manque de soutien financier, de contributeurs malveillants qui injectent des portes dérobées dans des bibliothèques open source populaires ou de mainteneurs qui introduisent accidentellement des failles critiques, la gestion des dépendances peut tourner au cauchemar.
Outre ces menaces, de nombreuses dépendances utilisent des composants existants pour accélérer le développement, ajoutant une couche de complexité supplémentaire qui rend l’ensemble encore plus difficile à gérer pour les entreprises.
À lire ensuite :