Log4j लाइब्रेरी पर आधारित एक तिहाई जावा प्रोजेक्ट कमजोर संस्करणों का उपयोग करना जारी रखते हैं

वेराकोड ने पिछले वर्ष और उससे एक वर्ष पहले पहचानी गई Log4j जावा लाइब्रेरी में महत्वपूर्ण कमजोरियों की प्रासंगिकता के अध्ययन के परिणाम प्रकाशित किए हैं। 38278 संगठनों द्वारा उपयोग किए गए 3866 अनुप्रयोगों का अध्ययन करने के बाद, वेराकोड शोधकर्ताओं ने पाया कि उनमें से 38% लोग Log4j के कमजोर संस्करणों का उपयोग करते हैं। विरासत कोड का उपयोग जारी रखने का मुख्य कारण पुराने पुस्तकालयों को परियोजनाओं में एकीकृत करना या असमर्थित शाखाओं से नई शाखाओं में स्थानांतरित करने की श्रमसाध्यता है जो पिछड़े संगत हैं (पिछली वेराकोड रिपोर्ट के अनुसार, 79% तृतीय-पक्ष पुस्तकालय परियोजना में स्थानांतरित हो गए कोड बाद में कभी अपडेट नहीं किए जाते)।

अनुप्रयोगों की तीन मुख्य श्रेणियां हैं जो Log4j के कमजोर संस्करणों का उपयोग करती हैं:

• 2.8% एप्लिकेशन 4-बीटा2.0 से 9 तक Log2.15.0j संस्करणों का उपयोग करना जारी रखते हैं, जिनमें Log4Shell भेद्यता (CVE-2021-44228) शामिल है।
• 3.8% एप्लिकेशन Log4j2 2.17.0 रिलीज़ का उपयोग करते हैं, जो Log4Shell भेद्यता को ठीक करता है, लेकिन CVE-2021-44832 रिमोट कोड निष्पादन (RCE) भेद्यता को ठीक नहीं करता है।
• 32% एप्लिकेशन Log4j2 1.2.x शाखा का उपयोग करते हैं, जिसका समर्थन 2015 में समाप्त हो गया था। यह शाखा रखरखाव समाप्त होने के 2022 साल बाद 23307 में पहचानी गई गंभीर कमजोरियों CVE-2022-23305, CVE-2022-23302 और CVE-2022-7 से प्रभावित है।

स्रोत: opennet.ru