A empresa Veracode publicou os resultados de um estudo sobre a relevância das vulnerabilidades críticas na biblioteca Java Log4j, identificadas nos últimos dois anos. Após analisar 38.278 aplicativos utilizados em 3.866 organizações, os pesquisadores da Veracode descobriram que 38% deles utilizam versões vulneráveis do Log4j. A principal razão para a continuidade do uso de código desatualizado é a inclusão de bibliotecas antigas nos projetos ou a dificuldade de migração de ramificações já não suportadas para novas, que quebram a compatibilidade retroativa (segundo o relatório anterior da Veracode, 79% das bibliotecas de terceiros migradas para o código de projetos nunca são atualizadas posteriormente).
Foram destacadas três principais categorias de aplicativos que utilizam versões vulneráveis do Log4j:
- 2,8% dos aplicativos continuam a utilizar versões do Log4j de 2.0-beta9 até 2.15.0, que contêm a vulnerabilidade Log4Shell (CVE-2021-44228).
- 3,8% dos aplicativos utilizam a versão Log4j2 2.17.0, na qual a vulnerabilidade Log4Shell foi corrigida, mas a vulnerabilidade CVE-2021-44832, que permite a execução remota de código (RCE), permanece sem correção.
- 32% dos aplicativos utilizam a ramificação Log4j2 1.2.x, cujo suporte foi encerrado em 2015. Esta ramificação está sujeita a vulnerabilidades críticas CVE-2022-23307, CVE-2022-23305 e CVE-2022-23302, identificadas em 2022, sete anos após a interrupção do suporte.
Fonte: opennet.ru
