Mozilla presenterade ett experimentellt tillägg.

Veracode har publicerat resultaten av en studie om relevansen av kritiska sårbarheter i Java-biblioteket Log4j, som upptäcktes under de senaste två åren. Genom att undersöka 38278 applikationer som används av 3866 organisationer fann forskare från Veracode att 38% av dem använder sårbara versioner av Log4j. Den främsta anledningen till fortsatt användning av föråldrad kod är inslaget av gamla bibliotek i projekten eller den tidskrävande migreringen från redan obehållna grenar till nya grenar där bakåtkompatibiliteten har brutits (enligt Veracodes tidigare rapport, uppdateras 79% av de migrerade kodprojekten som använder tredjepartsbibliotek aldrig).

Tre huvudkategorier av applikationer som använder sårbara versioner av Log4j har identifierats:

• 2.8% av applikationerna fortsätter att använda Log4j-versioner från 2.0-beta9 till 2.15.0, som innehåller Log4Shell-sårbarheten (CVE-2021-44228).
• 3.8% av applikationerna använder Log4j2 version 2.17.0, där Log4Shell-sårbarheten har åtgärdats, men där den fortfarande ofixade sårbarheten CVE-2021-44832 kvarstår, vilket möjliggör fjärrkodkörning (RCE).
• 32% av applikationerna använder Log4j2 version 1.2.x, vars stöd upphörde redan 2015. Denna gren är utsatt för kritiska sårbarheter CVE-2022-23307, CVE-2022-23305 och CVE-2022-23302, som upptäcktes 2022, sju år efter att supporten avslutades.

Källa: opennet.ru