Log4j

Log4j est une bibliothèque logicielle utilitaire open source programmée en langage Java. Elle fait partie de Apache Logging Services, un projet de l'Apache Software Foundation. Elle fournit des fonctions permettant de gérer des traces et des historiques d'applications.

Log4j

Informations

Développé par	Apache Software Foundation et Ceki Gülcü (d)
Dernière version	2.25.1 (11 juillet 2025)[1]
Dépôt	github.com/apache/logging-log4j2
Écrit en	Java
Système d'exploitation	Multiplateforme (en)
Environnement	Machine virtuelle Java
Type	Library for logging (d)
Licence	Licence Apache 2.0
Site web	logging.apache.org/log4j/2.x

modifier - modifier le code - voir Wikidata (aide)

Elle est utilisée dans de très nombreuses applications web et services web programmés en langage Java^[2].

Fonctionnalités

Niveaux de trace

La table ci-dessous décrit les niveaux de traces et de messages émis par Log4j, en ordre décroissant de sévérité.

Niveau	Description
OFF	Le niveau le plus élevé, destiné à désactiver les traces.
FATAL	Les erreurs graves qui provoquent une fin de programme prématurée.
ERROR	Autres erreurs ou conditions inattendues.
WARN	Utilisation d'APIs obsolète, ou mauvais usage d'API.
INFO	Evènements importants comme le démarrage ou la fin normale de programme.
DEBUG	Informations très détaillées sur le déroulement du programme.
TRACE	Informations de trace, supposées n'apparaitre que dans les fichiers logs, depuis la version 1.2.12[3].

Niveaux de trace personnalisés

Log4j 2 permet à l'utilisateur de définir ses propres niveaux de logs personnalisés^[4].

Failles de sécurité

La version 1.2 comportait une faille de sécurité identifiée en 2019^[5] (vulnérabilité logicielle)^[6] qui permettait d'exécuter un code potentiellement malveillant.

Cette faille a été corrigée dans la version 2. Cependant une autre faille de sécurité intitulée "Log4Shell"^[7] a aussi été détectée dans cette version le 24 novembre 2021 par le fournisseur de cloud chinois Alibaba^[8]. La correction 2.15 était incomplète, et un nouveau patch 2.16 a été publié le 13 décembre 2021^[9].

Le ministère de la Défense Canadien a émis un avertissement concernant cette faille et ses conséquences potentielles^[10], de même que le directeur de la Cybersecurity and Infrastructure Security Agency américaine^[11].

Le 10 décembre 2021, le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques français émet un bulletin d'alerte concernant une vulnérabilité dans les versions 2.16.0 et 2.12.2 (entre autres) de Apache Log4j^[12]. Cette vulnérabilité permet à un attaquant de provoquer une exécution de code arbitraire à distance s'il a la capacité de soumettre une donnée à une application qui utilise la bibliothèque log4j pour journaliser l'évènement. Cette attaque peut être réalisée sans être authentifié, par exemple en tirant parti d'une page d'authentification qui journalise les erreurs d'authentification.