Veracode har offentliggjort resultaterne af en undersøgelse om relevansen af kritiske sårbarheder i Java-biblioteket Log4j, der blev opdaget i de sidste par år. Ved at analysere 38.278 applikationer, der anvendes af 3.866 organisationer, fandt forskerne fra Veracode ud af, at 38% af dem anvender sårbare versioner af Log4j. Den primære årsag til den fortsatte brug af forældet kode er integrationen af ældre biblioteker i projekter eller den ressourcekrævende migration fra allerede ikke-supporterede grene til nye grene, hvor bagudkompatibiliteten er brudt (ifølge Veracodes tidligere rapport, opdateres 79% af de tredjepartsbiblioteker, der er overført til koden, aldrig igen).
Der er identificeret tre hovedkategorier af applikationer, der bruger sårbare versioner af Log4j:
- 2,8% af applikationerne fortsætter med at bruge Log4j-versioner fra 2.0-beta9 til 2.15.0, der indeholder sårbarheden Log4Shell (CVE-2021-44228).
- 3,8% af applikationerne bruger Log4j2 version 2.17.0, som har løst sårbarheden Log4Shell, men sårbarheden CVE-2021-44832, der muliggør fjernudførelse af kode (RCE), forbliver ikke rettet.
- 32% af applikationerne bruger Log4j2 1.2.x-versionen, hvis support sluttede tilbage i 2015. Denne version er udsat for kritiske sårbarheder CVE-2022-23307, CVE-2022-23305 og CVE-2022-23302, som blev identificeret i 2022, syv år efter afslutningen af vedligeholdelsen.
Kilde: opennet.ru
