Společnost Veracode zveřejnila výsledky studie o aktuálnosti kritických zranitelností v Java knihovně Log4j, které byly odhaleny v minulosti a předminulosti. Zkoumáním 38278 aplikací používaných v 3866 organizacích, výzkumníci společnosti Veracode zjistili, že 38 % z nich používá zranitelné verze Log4j. Hlavním důvodem pokračujícího užívání zastaralého kódu je začlenění starých knihoven do projektů či náročnost migrace z již nepodporovaných větví na nové větve, ve kterých je narušena zpětná kompatibilita (podle předchozího zprávy Veracode, 79 % přeneseného kódu projektů třetích stran se již nikdy neaktualizuje).
Byly vymezeny tři hlavní kategorie aplikací, které používají zranitelné verze Log4j:
- 2.8 % aplikací stále používá verze Log4j od 2.0-beta9 po 2.15.0, které obsahují zranitelnost Log4Shell (CVE-2021-44228).
- 3.8 % aplikací používá vydání Log4j2 2.17.0, ve kterém byla zranitelnost Log4Shell odstraněna, ale zůstává neopravená zranitelnost CVE-2021-44832, která umožňuje vzdálené spuštění kódu (RCE).
- 32 % aplikací používá větev Log4j2 1.2.x, jejíž podpora byla ukončena již v roce 2015. Tato větev je náchylná na kritické zranitelnosti CVE-2022-23307, CVE-2022-23305 a CVE-2022-23302, které byly odhaleny v roce 2022, tedy 7 let po ukončení údržby.
Zdroj: opennet.ru
