Vulnérabilité Log4j : Les organisations sont-elles toujours en danger ?

Il s’agit simplement d’un exemple de CVE mettant en évidence les défis qui persistent alors que les organisations ont du mal à suivre le rythme de la gestion des mesures correctives CVE, et c’est un problème qui ne va faire que s’aggraver. Le nombre de CVE publiés s’accélère et F5 Labs s’attend à ce que le rythme auquel de nouveaux CVE seront publiés au cours d’une semaine typique atteigne 500 par semaine d’ici 2025. Cela fait presque 2 ans que la vulnérabilité de log4j a été exposée, et les organisations sont toujours en train de rattraper leur retard alors que le problème plus large continue d'évoluer. Malgré la disponibilité des correctifs et des mises à jour, de nombreux facteurs contribuent à des vulnérabilités persistantes comme log4j.

Le nombre et la fréquence considérables des nouvelles vulnérabilités font que les organisations ont du mal à suivre le rythme (et peuvent même ne pas être au courant) lorsqu'elles apparaissent, soit en raison d'informations limitées, soit en raison de ressources limitées pour se tenir au courant des nouveaux avis. Une fois qu'une vulnérabilité est identifiée, la mise en œuvre de correctifs sur les systèmes vulnérables peut s'avérer complexe, en particulier dans les grandes organisations dotées de systèmes interconnectés, nécessitant des efforts et une coordination considérables, entraînant de longs cycles de mise en œuvre de correctifs. Cette situation est rendue plus complexe par le mélange d’infrastructures, de systèmes et d’applications hérités et modernes qui existe dans la plupart des organisations, ce qui peut créer des problèmes de compatibilité, des coûts élevés ou des engagements de temps gênants lors de la tentative de mise en œuvre de mises à jour critiques. De plus, les correctifs et les mises à jour complexes sont des dépendances indirectes qui peuvent exister au sein des chaînes d’approvisionnement de logiciels ou des composants d’infrastructure et qui peuvent constituer un angle mort, même si une organisation n’utilise pas directement le système vulnérable. Tout comme le code logiciel lui-même, l’erreur humaine et la négligence peuvent également entraver les efforts d’atténuation, car les développeurs ou les administrateurs peuvent négliger la nécessité d’appliquer des correctifs ou mal configurer les systèmes. Enfin, les organisations dotées d’infrastructures informatiques complexes ou d’une culture d’aversion au risque peuvent connaître des retards dans l’adoption des correctifs en raison de tests approfondis, de préoccupations concernant les perturbations ou de priorités commerciales concurrentes. À cette complexité s’ajoute le fait que la plupart des organisations manquent de personnel, notamment dans le domaine de la sécurité. Alors, comment sont-ils censés suivre le rythme alors qu’ils travaillent d’arrache-pied pour corriger et mettre à jour les systèmes et les applications ?