Третата част от Java проектите на базата на библиотеката Log4j продължава да използва уязвими версии

Компанията Veracode публикува резултатите от проучване, свързано с актуалността на критичните уязвимости в Java-библиотеката Log4j, открити през миналото и по-предходното години. Изследвайки 38278 приложения, използвани в 3866 организации, изследователите от Veracode установиха, че 38% от тях използват уязвими версии на Log4j. Основната причина за продължаващото приложение на остарял код е вграждането на стари библиотеки в проектите или трудоемкостта на миграцията от вече неподдържани версии на нови, в които е нарушена обратната съвместимост (според предишния доклад на Veracode, 79% от пренесените в кода проекти от трети страни никога не се актуализират в последствие).

Отделени са три основни категории приложения, използващи уязвими версии на Log4j:

• 2.8% от приложенията продължават да използват версии на Log4j от 2.0-beta9 до 2.15.0, които съдържат уязвимостта Log4Shell (CVE-2021-44228).
• 3.8% от приложенията използват версия Log4j2 2.17.0, в която уязвимостта Log4Shell е отстранена, но остава неуправлявана уязвимост CVE-2021-44832, позволяваща извършването на отдалечено изпълнение на код (RCE).
• 32% от приложенията използват версия Log4j2 1.2.x, чиято поддръжка приключи още през 2015 година. Тази версия е подложена на критични уязвимости CVE-2022-23307, CVE-2022-23305 и CVE-2022-23302, открити през 2022 година, седем години след прекратяване на поддръжката.

Източник: opennet.ru