Tvrtka Veracode objavila je rezultate istraživanja o aktualnosti kritičnih ranjivosti u Java biblioteci Log4j, otkrivenih u prethodnim godinama. Proučivši 38,278 aplikacija korištenih u 3,866 organizacija, istraživači iz Veracode otkrili su da 38% od njih koristi ranjive verzije Log4j. Glavni razlog za nastavak korištenja zastarjelog koda je integracija starih biblioteka u projekte ili složenost migracije s neodržavanih grana na nove grane, gdje je prekinuta unazadna kompatibilnost (prema prethodnom izvještaju Veracode, 79% prebačenih u kod projekata vanjskih biblioteka nikada se ne ažurira).
Istaknute su tri glavne kategorije aplikacija koje koriste ranjive verzije Log4j:
- 2.8% aplikacija i dalje koristi verzije Log4j od 2.0-beta9 do 2.15.0, koje sadrže ranjivost Log4Shell (CVE-2021-44228).
- 3.8% aplikacija koristi izdanje Log4j2 2.17.0, u kojem je ranjivost Log4Shell otklonjena, ali ostaje neispravljena ranjivost CVE-2021-44832, koja omogućava daljinsko izvođenje koda (RCE).
- 32% aplikacija koristi granu Log4j2 1.2.x, čija je podrška prekinuta još 2015. godine. Ova grana je podložna kritičnim ranjivostima CVE-2022-23307, CVE-2022-23305 i CVE-2022-23302, otkrivenim 2022. godine, sedam godina nakon prestanka podrške.
Izvor: opennet.ru
