A Veracode közzétette a Log4j Java könyvtár kritikus sebezhetőségeivel kapcsolatos kutatásának eredményeit, amelyeket az előző és az azt megelőző évben azonosítottak. 38278 alkalmazást tanulmányozva, 3866 szervezet körében, a Veracode kutatói felfedezték, hogy 38%-uk sebezhető Log4j verziókat használ. Az elavult kód folytatódó használatának fő oka a régi könyvtárak projektekbe való beépítése, vagy a már nem támogatott ágakról az új ágakra való migrálás nehézsége, ahol a visszafelé kompatibilitás megszakadt (a Veracode korábbi jelentése szerint a külső könyvtárak kódba való áttelepítésének 79%-át soha nem frissítik).
Három fő kategóriát különítettek el azokra az alkalmazásokra, amelyek sebezhető Log4j verziókat használnak:
- 2,8%-nyi alkalmazás továbbra is Log4j verziókat használ a 2.0-beta9 és 2.15.0 között, amelyek a Log4Shell sebezhetőséget (CVE-2021-44228) tartalmazzák.
- 3,8%-nyi alkalmazás a Log4j2 2.17.0 verzióját használja, amelyben a Log4Shell sebezhetőséget orvosolták, de a CVE-2021-44832 sebezhetőség, amely távoli kódvégrehajtást (RCE) tesz lehetővé, továbbra is nyitott marad.
- 32%-nyi alkalmazás a Log4j2 1.2.x ágat használja, amelynek támogatása már 2015-ben véget ért. Ez az ág kritikus sebezhetőségeknek van kitéve, mint a CVE-2022-23307, CVE-2022-23305 és CVE-2022-23302, amelyeket 2022-ben fedeztek fel, hét évvel a támogatás megszűnését követően.
Forrás: opennet.ru
