Veracode heeft de resultaten gepubliceerd van een onderzoek naar de relevantie van kritieke kwetsbaarheden in de Java-bibliotheek Log4j, die de afgelopen twee jaren zijn vastgesteld. Na het bestuderen van 38.278 applicaties die worden gebruikt binnen 3.866 organisaties, ontdekten onderzoekers van Veracode dat 38% van hen kwetsbare versies van Log4j gebruikt. De belangrijkste reden voor het voortduren van het gebruik van verouderde code is de integratie van oude bibliotheken in projecten of de complexiteit van migratie van al niet-ondersteunde takken naar nieuwe takken, waarin de achterwaartse compatibiliteit is verbroken (volgens het vorige rapport van Veracode wordt 79% van de overgenomen externe bibliotheken in de code vervolgens nooit meer bijgewerkt).
Er zijn drie hoofdcategorieƫn van applicaties vastgesteld die kwetsbare versies van Log4j gebruiken:
- 2,8% van de applicaties blijft versies van Log4j van 2.0-beta9 tot 2.15.0 gebruiken, die de kwetsbaarheid Log4Shell (CVE-2021-44228) bevatten.
- 3,8% van de applicaties maakt gebruik van release Log4j2 2.17.0, waarin de kwetsbaarheid Log4Shell is verholpen, maar de kwetsbaarheid CVE-2021-44832 blijft onopgelost, waardoor een remote code execution (RCE) mogelijk is.
- 32% van de applicaties maakt gebruik van de tak Log4j2 1.2.x, waarvan de ondersteuning al in 2015 is beƫindigd. Deze tak is kwetsbaar voor kritieke kwetsbaarheden CVE-2022-23307, CVE-2022-23305 en CVE-2022-23302, die in 2022 zijn aangetroffen, zeven jaar nadat de ondersteuning was gestopt.
Bron: opennet.ru
