Exécution de code à distance (RCE)
RCE · remote code execution · exécution de code arbitraire · ACE · injection de commandes
Vulnérabilité qui permet à un attaquant de faire exécuter ses propres commandes sur une machine distante, généralement par le réseau, ce qui revient souvent à en prendre le contrôle.
En pratique
La RCE est l’issue la plus grave d’une faille : injection de commandes système, désérialisation non sûre, dépassement de tampon ou chargement de code depuis une source contrôlée par l’attaquant. Lorsqu’elle ne demande ni authentification ni action de l’utilisateur et touche un service exposé sur Internet, elle obtient une note CVSS critique et elle est vite exploitée en masse. C’est la porte d’entrée privilégiée des rançongiciels et de l’espionnage.
En décembre 2021, Log4Shell (CVE-2021-44228), une faille de la bibliothèque de journalisation Apache Log4j, permettait à un attaquant non authentifié de prendre le contrôle d’un système avec une simple requête. Log4j étant intégré à d’innombrables applications, la CISA a ordonné aux agences fédérales américaines de corriger en urgence.
Comment s’en protéger
- Corriger en priorité les RCE présentes dans le catalogue KEV, surtout sur les systèmes exposés.
- Tenir une SBOM pour savoir en quelques minutes où se trouve une bibliothèque vulnérable.
- Ne jamais transmettre de données utilisateur à un interpréteur de commandes, à une évaluation dynamique de code ou à une désérialisation non sûre.
- Restreindre les droits et les connexions sortantes des serveurs pour limiter l’impact.
