Das Unternehmen Veracode hat die Ergebnisse einer Untersuchung zur Relevanz kritischer Schwachstellen in der Java-Bibliothek Log4j veröffentlicht, die in den vergangenen Jahren identifiziert wurden. Bei der Untersuchung von 38.278 Anwendungen, die in 3.866 Organisationen verwendet werden, stellten die Forscher von Veracode fest, dass 38 % von ihnen anfällige Versionen von Log4j verwenden. Der Hauptgrund für die fortgesetzte Nutzung veralteter Codes ist das Einbinden alter Bibliotheken in Projekte oder der Aufwand für die Migration von nicht mehr unterstützten Versionen auf neue, die nicht abwärtskompatibel sind (laut einem früheren Bericht von Veracode werden 79 % der in den Code übertragenen Drittanbieterbibliotheken anschließend nie aktualisiert).
Drei Hauptkategorien von Anwendungen, die anfällige Versionen von Log4j nutzen, wurden identifiziert:
- 2,8 % der Anwendungen verwenden weiterhin Versionen von Log4j von 2.0-beta9 bis 2.15.0, die die Schwachstelle Log4Shell (CVE-2021-44228) enthalten.
- 3,8 % der Anwendungen nutzen die Version Log4j2 2.17.0, in der die Schwachstelle Log4Shell behoben wurde, jedoch bleibt die Schwachstelle CVE-2021-44832 bestehen, die die Durchführung von Remote Code Execution (RCE) ermöglicht.
- 32% der Anwendungen nutzen die Log4j2 1.2.x Version, deren Unterstützung bereits 2015 eingestellt wurde. Diese Version ist anfällig für kritische Schwachstellen wie CVE-2022-23307, CVE-2022-23305 und CVE-2022-23302, die 2022 entdeckt wurden, sieben Jahre nach der Einstellung des Supports.
Quelle: opennet.ru
