Log4j ലൈബ്രറിയെ അടിസ്ഥാനമാക്കിയുള്ള ജാവ പ്രോജക്റ്റുകളിൽ മൂന്നിലൊന്ന് ദുർബലമായ പതിപ്പുകൾ ഉപയോഗിക്കുന്നത് തുടരുന്നു

Log4j ജാവ ലൈബ്രറിയിലെ ഗുരുതരമായ കേടുപാടുകളുടെ പ്രസക്തിയെക്കുറിച്ചുള്ള ഒരു പഠനത്തിന്റെ ഫലങ്ങൾ Veracode പ്രസിദ്ധീകരിച്ചു, കഴിഞ്ഞ വർഷവും അതിന് മുമ്പുള്ള വർഷവും. 38278 ഓർഗനൈസേഷനുകൾ ഉപയോഗിക്കുന്ന 3866 ആപ്ലിക്കേഷനുകൾ പഠിച്ച ശേഷം, അതിൽ 38% ലോഗ് 4ജെയുടെ ദുർബലമായ പതിപ്പുകളാണ് ഉപയോഗിക്കുന്നതെന്ന് വെരാകോഡ് ഗവേഷകർ കണ്ടെത്തി. ലെഗസി കോഡ് ഉപയോഗിക്കുന്നത് തുടരുന്നതിനുള്ള പ്രധാന കാരണം, പഴയ ലൈബ്രറികളെ പ്രോജക്റ്റുകളാക്കി സംയോജിപ്പിക്കുന്നതോ പിന്തുണയില്ലാത്ത ശാഖകളിൽ നിന്ന് പിന്നോക്കം നിൽക്കുന്ന പുതിയ ശാഖകളിലേക്ക് കുടിയേറുന്നതിലെ അധ്വാനമോ ആണ് (മുമ്പത്തെ വെരാക്കോഡ് റിപ്പോർട്ട് അനുസരിച്ച്, മൂന്നാം കക്ഷി ലൈബ്രറികളിൽ 79% പ്രോജക്റ്റിലേക്ക് മൈഗ്രേറ്റ് ചെയ്തു. കോഡ് പിന്നീട് ഒരിക്കലും അപ്ഡേറ്റ് ചെയ്യപ്പെടുന്നില്ല).

Log4j-ന്റെ ദുർബലമായ പതിപ്പുകൾ ഉപയോഗിക്കുന്ന ആപ്ലിക്കേഷനുകളുടെ മൂന്ന് പ്രധാന വിഭാഗങ്ങളുണ്ട്:

• 2.8% ആപ്ലിക്കേഷനുകളും 4-beta2.0 മുതൽ 9 വരെയുള്ള Log2.15.0j പതിപ്പുകൾ ഉപയോഗിക്കുന്നത് തുടരുന്നു, അതിൽ Log4Shell ദുർബലത (CVE-2021-44228) അടങ്ങിയിരിക്കുന്നു.
• 3.8% ആപ്ലിക്കേഷനുകൾ Log4j2 2.17.0 റിലീസ് ഉപയോഗിക്കുന്നു, ഇത് Log4Shell കേടുപാടുകൾ പരിഹരിക്കുന്നു, എന്നാൽ CVE-2021-44832 റിമോട്ട് കോഡ് എക്സിക്യൂഷൻ (RCE) കേടുപാടുകൾ പരിഹരിക്കപ്പെടാതെ പോകുന്നു.
• 32% ആപ്ലിക്കേഷനുകളും Log4j2 1.2.x ബ്രാഞ്ച് ഉപയോഗിക്കുന്നു, അതിനുള്ള പിന്തുണ 2015-ൽ അവസാനിച്ചു. അറ്റകുറ്റപ്പണി അവസാനിച്ച് 2022 വർഷത്തിന് ശേഷം 23307-ൽ തിരിച്ചറിഞ്ഞ CVE-2022-23305, CVE-2022-23302, CVE-2022-7 എന്നിവ ഈ ശാഖയെ ബാധിക്കുന്നു.

അവലംബം: opennet.ru