Log4j पुस्तकालयमा आधारित Java परियोजनाहरूको एक तिहाइले कमजोर संस्करणहरू प्रयोग गर्न जारी राख्छ

भेराकोडले Log4j Java पुस्तकालयमा गत वर्ष र अघिल्लो वर्ष पहिचान गरिएको महत्वपूर्ण कमजोरीहरूको सान्दर्भिकताको अध्ययनको नतिजा प्रकाशित गरेको छ। 38278 संस्थाहरू द्वारा प्रयोग गरिएका 3866 अनुप्रयोगहरू अध्ययन गरेपछि, भेराकोड अनुसन्धानकर्ताहरूले पत्ता लगाए कि तिनीहरूमध्ये 38% ले Log4j को कमजोर संस्करणहरू प्रयोग गर्छन्। लेगेसी कोड प्रयोग गर्न जारी राख्नुको मुख्य कारण पुरानो पुस्तकालयहरूलाई परियोजनाहरूमा एकीकरण गर्नु वा असमर्थित शाखाहरूबाट पछाडी मिल्ने नयाँ शाखाहरूमा बसाइँ सर्ने कठिनता हो (अघिल्लो भेराकोड प्रतिवेदनलाई हेर्दा, तेस्रो-पक्ष पुस्तकालयहरूको 79% परियोजनामा ​​माइग्रेट गरियो। कोड पछि कहिल्यै अद्यावधिक हुँदैन)।

Log4j को कमजोर संस्करणहरू प्रयोग गर्ने एपहरूका तीन मुख्य कोटीहरू छन्:

• 2.8% अनुप्रयोगहरूले Log4j संस्करणहरू 2.0-beta9 देखि 2.15.0 सम्म प्रयोग गर्न जारी राख्छन्, जसमा Log4Shell जोखिम (CVE-2021-44228) समावेश छ।
• 3.8% अनुप्रयोगहरूले Log4j2 2.17.0 रिलिज प्रयोग गर्दछ, जसले Log4Shell जोखिमलाई फिक्स गर्दछ, तर CVE-2021-44832 रिमोट कोड कार्यान्वयन (RCE) जोखिमलाई अनफिक्स गरिदिन्छ।
• 32% अनुप्रयोगहरूले Log4j2 1.2.x शाखा प्रयोग गर्छन्, जसको लागि समर्थन 2015 मा समाप्त भयो। मर्मतसम्भार समाप्त भएको ७ वर्ष पछि २०२२ मा पहिचान गरिएको CVE-2022-23307, CVE-2022-23305 र CVE-2022-23302 ले यस शाखालाई महत्त्वपूर्ण जोखिमहरूबाट प्रभावित गरेको छ।

स्रोत: opennet.ru