Трети Java проекти на база библиотеката Log4j продължават да използват уязвими версии

Компания Veracode публикува резултатите от проучване на актуалността на критичните уязвимости в Java-библиотеката Log4j, открити през миналата и по-предишната година. Изследвайки 38278 приложения, използвани в 3866 организации, изследователите от Veracode откриха, че 38% от тях използват уязвими версии на Log4j. Основната причина за продължаването на използването на остарял код е внедряването на стари библиотеки в проектите или сложността на миграцията от вече неподдържани версии на нови, в които е нарушена обратната съвместимост (от миналия доклад на Veracode, 79% от пренесените в кода проекти на трети страни никога не се обновяват).

Изведени са три основни категории приложения, използващи уязвими версии на Log4j:

• 2.8% от приложенията продължават да използват версии на Log4j от 2.0-beta9 до 2.15.0, които съдържат уязвимостта Log4Shell (CVE-2021-44228).
• 3.8% от приложенията използват версия Log4j2 2.17.0, в която уязвимостта Log4Shell е отстранена, но остава неизправена уязвимост CVE-2021-44832, позволяваща организационно дистанционно изпълнение на код (RCE).
• 32% от приложенията използват версията Log4j2 1.2.x, чиято поддръжка приключи още през 2015 година. Тази версия е подложена на критични уязвимости CVE-2022-23307, CVE-2022-23305 и CVE-2022-23302, открити през 2022 година, седем години след прекратяването на поддръжката.

Източник: opennet.ru