មួយភាគបីនៃគម្រោង Java ផ្អែកលើបណ្ណាល័យ Log4j បន្តប្រើកំណែដែលងាយរងគ្រោះ

Veracode បានបោះពុម្ពផ្សាយលទ្ធផលនៃការសិក្សាអំពីភាពពាក់ព័ន្ធនៃភាពងាយរងគ្រោះសំខាន់ៗនៅក្នុងបណ្ណាល័យ Log4j Java ដែលបានកំណត់កាលពីឆ្នាំមុន និងឆ្នាំមុន។ បន្ទាប់ពីសិក្សាកម្មវិធីចំនួន 38278 ដែលប្រើប្រាស់ដោយអង្គការចំនួន 3866 អ្នកស្រាវជ្រាវ Veracode បានរកឃើញថា 38% នៃពួកគេប្រើប្រាស់កំណែងាយរងគ្រោះនៃ Log4j ។ ហេតុផលចម្បងសម្រាប់ការបន្តប្រើប្រាស់កូដកេរ្តិ៍ដំណែលគឺការរួមបញ្ចូលបណ្ណាល័យចាស់ៗទៅក្នុងគម្រោង ឬភាពលំបាកនៃការធ្វើចំណាកស្រុកពីសាខាដែលមិនគាំទ្រទៅសាខាថ្មីដែលត្រូវគ្នានឹងថយក្រោយ (ការវិនិច្ឆ័យដោយរបាយការណ៍ Veracode ពីមុន 79% នៃបណ្ណាល័យភាគីទីបីបានធ្វើចំណាកស្រុកទៅក្នុងគម្រោង។ កូដមិនត្រូវបានធ្វើបច្ចុប្បន្នភាពជាបន្តបន្ទាប់ទេ) ។

មានកម្មវិធីសំខាន់ៗចំនួនបីដែលប្រើកំណែងាយរងគ្រោះរបស់ Log4j៖

• 2.8% នៃកម្មវិធីបន្តប្រើប្រាស់កំណែ Log4j ពី 2.0-beta9 ដល់ 2.15.0 ដែលមានភាពងាយរងគ្រោះ Log4Shell (CVE-2021-44228)។
• 3.8% នៃកម្មវិធីប្រើប្រាស់ការចេញផ្សាយ Log4j2 2.17.0 ដែលជួសជុលភាពងាយរងគ្រោះ Log4Shell ប៉ុន្តែទុកភាពងាយរងគ្រោះ CVE-2021-44832 remote code execution (RCE) unfixed ។
• 32% នៃកម្មវិធីប្រើប្រាស់សាខា Log4j2 1.2.x ការគាំទ្រដែលបានបញ្ចប់នៅឆ្នាំ 2015 ។ សាខានេះត្រូវបានប៉ះពាល់ដោយភាពងាយរងគ្រោះសំខាន់ៗ CVE-2022-23307, CVE-2022-23305 និង CVE-2022-23302 ដែលត្រូវបានកំណត់អត្តសញ្ញាណក្នុងឆ្នាំ 2022 7 ឆ្នាំបន្ទាប់ពីការបញ្ចប់នៃការថែទាំ។

ប្រភព: opennet.ru