« Log4j » : différence entre les versions
Contenu supprimé Contenu ajouté
Fonctionnalité de suggestions de liens : 1 lien ajouté. |
→Failles de sécurité : Au singulier Balises : Révoqué Éditeur visuel |
||
Ligne 39 :
Log4j 2 permet à l'utilisateur de définir ses propres niveaux de logs personnalisés<ref>{{lien web|url=https://logging.apache.org/log4j/2.x/manual/customloglevels.html |titre=Custom Log Levels |éditeur=Logging.apache.org |date=2014-07-12 |consulté le=2016-07-16}}</ref>.
==
{{Article détaillé|Log4Shell}}
La version 1.2 comportait une [[Vulnérabilité (informatique)|faille de sécurité]] identifiée en 2019<ref>https://www.cvedetails.com/cve/CVE-2019-17571/</ref> (vulnérabilité logicielle)<ref>{{lien web |langue=en |titre=Apache log4j 1.2 - |url=https://logging.apache.org/log4j/1.2/index.html |site=apache.org |consulté le=21-11-2023}}.</ref> qui permettait d'exécuter un code potentiellement malveillant.
Cette faille a été corrigée dans la version 2. Cependant, une autre faille de sécurité intitulée "[[Log4Shell]]"<ref>https://www.lawfareblog.com/whats-deal-log4shell-security-nightmare</ref> a aussi été détectée dans cette version le {{date-|24 novembre 2021}} par le fournisseur de [[Cloud computing|cloud]] chinois [[Alibaba Group|Alibaba]]<ref>{{Article |langue=en |auteur1=Guardian staff reporter |titre=Recently uncovered software flaw ‘most critical vulnerability of the last decade’ |périodique=[[The Guardian]] |date=11-12-2021 |lire en ligne=https://www.theguardian.com/technology/2021/dec/10/software-flaw-most-critical-vulnerability-log-4-shell |consulté le=21-11-2023}}.</ref>. La correction 2.15 était incomplète, et un nouveau patch 2.16 a été publié le {{date-|13 décembre 2021}}<ref>{{lien web |titre=Une deuxième vulnérabilité de Log4j découverte et un nouveau patch publié |url=https://www.zdnet.fr/actualites/une-deuxieme-vulnerabilite-de-log4j-decouverte-et-un-nouveau-patch-publie-39934151.htm |site=ZDNet France |consulté le=21-11-2023}}.</ref>.
Le ministère de la Défense Canadien a émis un avertissement concernant cette faille et ses conséquences potentielles<ref>{{lien web |langue=en |titre=Statement from the Minister of National Defence on Apache Vulnerability and Call to Canadian Organizations to Take Urgent Action |url=https://archive.wikiwix.com/cache/19981130000000/https://cyber.gc.ca/en/news/statement-minister-national-defence-apache-vulnerability |site=cyber.gc.ca via [[Wikiwix]] |consulté le=21-11-2023}}.</ref>, de même que le directeur de la [[Cybersecurity and Infrastructure Security Agency]] américaine<ref>{{lien web |langue=en |titre=Statement from CISA Director Easterly on “Log4j” Vulnerability |url=https://www.cisa.gov/news/2021/12/11/statement-cisa-director-easterly-log4j-vulnerability |site=Cybersecurity and Infrastructure… |consulté le=21-11-2023}}.</ref>.
| |||