Deux ans après, 1 application sur 4 est toujours vulnérable à Log4Shell.

Deux ans après la divulgation de la vulnérabilité Log4Shell dans l’utilitaire de journalisation open source Log4j basé sur Java, environ un quart des applications dépendent de bibliothèques obsolètes, les rendant vulnérables à l’exploitation. Selon une étude de la société de sécurité Veracode, la très grande majorité des applications vulnérables n’ont jamais mis à jour la bibliothèque Log4j après son implémentation par les développeurs, 32 % d’entre elles fonctionnant sous des versions EOL datant de 2015 ou avant. Des enquêtes précédentes de Veracode ont également montré que 79 % des développeurs ne mettent jamais à jour les bibliothèques tierces une fois qu’ils les ont introduites dans leurs projets et, étant donné que Log4j2 – la version spécifique de Log4j affectée par la vulnérabilité – date de 2014, cela expliquerait la grande proportion d’applications non patchées. Une bien plus petite minorité utilise toujours des versions vulnérables au moment de la divulgation de la vulnérabilité Log4j en décembre 2021. Seuls 2,8 % d’entre elles utilisent toujours les versions 2.0-beta9 à 2.15.0 – les versions post-EOL restant exposées à Log4Shell, le surnom donné à l’exploit de la vulnérabilité par l’industrie. 3,8 % d’entre elles utilisent toujours la version 2.17, une version post-patch de l’enregistreur Java qui n’est pas exposée aux attaques Log4Shell, mais vulnérable à une autre faille d’exécution de code à distance (CVE-2021-44832).