Le régulateur chinois de l’Internet, le ministère de l’Industrie et des Technologies de l’information (MIIT), a temporairement suspendu un partenariat avec Alibaba Cloud, la filiale de cloud computing du géant du commerce électronique Alibaba Group, pendant six mois en raison du fait qu’il n’a pas informé rapidement le gouvernement au sujet d’une vulnérabilité de sécurité critique affectant la bibliothèque de journalisation Log4j largement utilisée.
Le développement a été révélé par Reuters et Poste du matin du sud de la Chine, citant un rapport du 21st Century Business Herald, un quotidien chinois d’information économique.
« Alibaba Cloud n’a pas immédiatement signalé les vulnérabilités du célèbre cadre de journalisation open source Apache Log4j2 au régulateur chinois des télécommunications », a déclaré Reuters. « En réponse, MIIT a suspendu un partenariat de coopération avec l’unité cloud concernant les menaces de cybersécurité et les plateformes de partage d’informations. »
Suivi comme CVE-2021-44228 (score CVSS : 10,0) et nom de code Log4Shell ou LogJam, la faille de sécurité catastrophique permet à des acteurs malveillants d’exécuter à distance du code arbitraire en obtenant une chaîne spécialement conçue enregistrée par le logiciel.
Log4Shell a été révélé après Chen Zhaojun de l’équipe de sécurité cloud d’Alibaba envoyé un e-mail alertant l’Apache Software Foundation (ASF) le 24 novembre de la faille, ajoutant qu’elle « a un impact majeur ». Mais juste au moment où le correctif était mis en place, les détails de la vulnérabilité ont été partagés sur une plate-forme de blogs chinoise par un acteur non identifié le 8 décembre, envoyant l’équipe Apache se démener pour publier un correctif le 10 décembre.
Après la divulgation publique du bogue, Log4Shell a été soumis à une exploitation généralisée par des acteurs de la menace pour prendre le contrôle de serveurs sensibles, grâce à l’utilisation quasi omniprésente de la bibliothèque, qui peut être trouvée dans une variété de services grand public et d’entreprise, de sites Web et applications — ainsi que dans les produits technologiques opérationnels — qui en dépendent pour consigner les informations de sécurité et de performances.
Dans les jours qui ont suivi, une enquête plus approfondie sur Log4j par la communauté de la cybersécurité a depuis révélé trois autres faiblesses dans l’outil Java, incitant les responsables du projet à envoyer une série de mises à jour de sécurité pour contenir les attaques du monde réel exploitant les failles.
La société de sécurité israélienne Check Point c’est noté qu’il a bloqué jusqu’à présent plus de 4,3 millions de tentatives d’exploitation, dont 46 % sont le fait de groupes malveillants connus. « Cette vulnérabilité peut entraîner le contrôle à distance de l’appareil, ce qui entraînera de graves risques tels que le vol d’informations sensibles et l’interruption du service de l’appareil », avait précédemment déclaré le MIIT dans une déclaration publique publiée le 17 décembre, ajoutant qu’il n’avait été informé que de la faille le 9 décembre, 15 jours après la divulgation initiale.
Le rejet de MIIT arrive des mois après que le gouvernement chinois a publié de nouvelles réglementations plus strictes sur la divulgation des vulnérabilités qui obligent les fournisseurs de logiciels et de réseaux affectés par des failles critiques, aux côtés d’entités ou d’individus impliqués dans la découverte de vulnérabilités de sécurité de produits réseau, à les signaler de première main aux autorités gouvernementales obligatoirement. dans deux jours.
En septembre, le gouvernement a également l’a suivi en lançant des « bases de données professionnelles sur la sécurité et la vulnérabilité du cyberespace » pour le signalement des vulnérabilités de sécurité dans les réseaux, les applications mobiles, les systèmes de contrôle industriel, les voitures intelligentes, les appareils IoT et d’autres produits Internet qui pourraient être ciblés par les acteurs de la menace.
Mettre à jour: Après que le régulateur chinois de la sécurité Internet a retiré Alibaba Cloud de son partenariat de renseignement sur les cybermenaces pendant six mois, la société de cloud computing a déclaré jeudi qu’elle s’efforcerait d’améliorer sa gestion des risques et sa conformité, selon un communiqué. nouveau rapport du South China Morning Post. Alibaba Cloud a également déclaré qu’il n’avait pas pleinement compris la gravité de la faille et qu’il n’avait pas partagé les détails avec le gouvernement en temps opportun.
