Das Unternehmen Veracode hat die Ergebnisse einer Untersuchung zur Relevanz kritischer Schwachstellen in der Java-Bibliothek Log4j veröffentlicht, die in den letzten zwei Jahren identifiziert wurden. Bei der Analyse von 38.278 Anwendungen, die in 3.866 Organisationen verwendet werden, entdeckten die Forscher von Veracode, dass 38 % von ihnen verwundbare Versionen von Log4j nutzen. Der Hauptgrund für die Fortsetzung der Verwendung von veraltetem Code ist die Integration alter Bibliotheken in Projekte oder die aufwändige Migration von nicht mehr unterstützten Branches zu neuen Branches, bei denen die Abwärtskompatibilität verletzt wurde (laut dem vorherigen Bericht von Veracode werden 79 % der in den Code übertragenen Projekte von Drittanbieterbibliotheken danach niemals aktualisiert).
Es wurden drei Hauptkategorien von Anwendungen identifiziert, die verwundbare Versionen von Log4j verwenden:
- 2,8 % der Anwendungen verwenden weiterhin Versionen von Log4j von 2.0-beta9 bis 2.15.0, die die Log4Shell-Schwachstelle (CVE-2021-44228) enthalten.
- 3,8 % der Anwendungen verwenden die Version Log4j2 2.17.0, in der die Log4Shell-Schwachstelle behoben wurde, jedoch bleibt die Schwachstelle CVE-2021-44832, die eine Remote-Codeausführung (RCE) ermöglicht, unbehoben.
- 32 % der Anwendungen verwenden die Branch Log4j2 1.2.x, deren Unterstützung bereits 2015 eingestellt wurde. Diese Branch ist kritischen Schwachstellen wie CVE-2022-23307, CVE-2022-23305 und CVE-2022-23302 ausgesetzt, die 2022 sieben Jahre nach der Einstellung der Wartung entdeckt wurden.
Quelle: opennet.ru
