ຫນຶ່ງໃນສາມຂອງໂຄງການ Java ໂດຍອີງໃສ່ຫ້ອງສະຫມຸດ Log4j ຍັງສືບຕໍ່ໃຊ້ສະບັບທີ່ມີຄວາມສ່ຽງ

Veracode ໄດ້ເຜີຍແຜ່ຜົນຂອງການສຶກສາກ່ຽວກັບຄວາມກ່ຽວຂ້ອງຂອງຊ່ອງໂຫວ່ທີ່ສໍາຄັນໃນຫ້ອງສະຫມຸດ Log4j Java, ກໍານົດໃນປີກາຍນີ້ແລະປີກ່ອນ. ຫຼັງຈາກການສຶກສາ 38278 ຄໍາຮ້ອງສະຫມັກທີ່ໃຊ້ໂດຍ 3866 ອົງການຈັດຕັ້ງ, ນັກຄົ້ນຄວ້າ Veracode ພົບວ່າ 38% ຂອງພວກເຂົາໃຊ້ Log4j ຮຸ່ນທີ່ມີຄວາມສ່ຽງ. ເຫດຜົນຕົ້ນຕໍສໍາລັບການສືບຕໍ່ນໍາໃຊ້ລະຫັດມໍລະດົກແມ່ນການລວມເອົາຫ້ອງສະຫມຸດເກົ່າເຂົ້າໄປໃນໂຄງການຫຼືຄວາມຍາກລໍາບາກຂອງການເຄື່ອນຍ້າຍຈາກສາຂາທີ່ບໍ່ໄດ້ຮັບການສະຫນັບສະຫນູນໄປສູ່ສາຂາໃຫມ່ທີ່ເຂົ້າກັນໄດ້ກັບຫລັງ (ການຕັດສິນໂດຍບົດລາຍງານ Veracode ທີ່ຜ່ານມາ, 79% ຂອງຫ້ອງສະຫມຸດພາກສ່ວນທີສາມໄດ້ຍ້າຍໄປຢູ່ໃນໂຄງການ. ລະ​ຫັດ​ແມ່ນ​ບໍ່​ມີ​ການ​ປັບ​ປຸງ​ຕໍ່​ມາ).

ມີສາມປະເພດຕົ້ນຕໍຂອງແອັບພລິເຄຊັນທີ່ໃຊ້ Log4j ລຸ້ນທີ່ມີຄວາມສ່ຽງ:

• 2.8% ຂອງແອັບພລິເຄຊັນຍັງສືບຕໍ່ໃຊ້ເວີຊັນ Log4j ຈາກ 2.0-beta9 ຫາ 2.15.0, ເຊິ່ງມີຊ່ອງໂຫວ່ Log4Shell (CVE-2021-44228).
• 3.8% ຂອງແອັບພລິເຄຊັນໃຊ້ການປ່ອຍ Log4j2 2.17.0, ເຊິ່ງແກ້ໄຂຊ່ອງໂຫວ່ຂອງ Log4Shell, ແຕ່ປ່ອຍໃຫ້ຊ່ອງຫວ່າງ CVE-2021-44832 remote code execution (RCE) unfixed.
• 32% ຂອງແອັບພລິເຄຊັນໃຊ້ສາຂາ Log4j2 1.2.x, ການສະຫນັບສະຫນູນທີ່ສິ້ນສຸດໃນປີ 2015. ສາຂານີ້ໄດ້ຮັບຜົນກະທົບຈາກຈຸດອ່ອນທີ່ສໍາຄັນ CVE-2022-23307, CVE-2022-23305 ແລະ CVE-2022-23302, ກໍານົດໃນປີ 2022 7 ປີຫຼັງຈາກສິ້ນສຸດການບໍາລຸງຮັກສາ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru