Megjegyzés: az OPSWAT folyamatosan frissíti ezt a blogbejegyzést további információkkal, amint azok rendelkezésre állnak.
Update — De c. 24, 2021 — 12:30 PM EST
A CVE-2021-44228 körüli frissítések és fejlemények folyamatos figyelemmel kísérése során tudomásunkra jutott a CVE 2021-45105-ben felvázolt legújabb útmutatás, amely szerint az Apache Log4j2 2.0-alpha1 és 2.16.0 közötti verziók (kivéve a 2.12.3) nem védelmet nyújtanak az önreferenciális keresésekből származó ellenőrizetlen rekurzió ellen, ami a szolgáltatás megtagadásához vezethet.
Jelenleg nem értékeljük, hogy ez a frissítés megváltoztatná a CVE 2021-44228-ra vonatkozóan közzétett vagy közölt kárenyhítési lépéseket.
Amennyiben bármilyen változás történik, vagy az értékelésünk megváltozik, továbbra is értesítjük a blogon keresztül.
Ha bármilyen további kérdése vagy aggálya van, kérjük, forduljon hozzánk támogatási csatornáink bármelyikén keresztül.
Update — De c. 15, 2021 — 5 PM EST
Miközben továbbra is figyelemmel kísérjük a CVE-2021-44228 körüli frissítéseket és fejleményeket, tudomásunk van a CVE 2021-45046-ban felvázolt legújabb útmutatásról, amely az Apache log4j 2.15.0 hiányos javításával foglalkozik bizonyos nem alapértelmezett konfigurációkban.
Jelenleg nem értékeljük, hogy ez megváltoztatja a CVE 2021-44228 kapcsán kiadott, jelenleg közzétett kárenyhítési lépéseket.
Ha bármilyen változás történik, vagy az értékelésünk megváltozik, továbbra is értesítjük a blogon keresztül.
Ha bármilyen további kérdése vagy aggálya van, kérjük, forduljon hozzánk támogatási csatornáink bármelyikén keresztül.
Frissítés - 2021. december 14., 14:00 EST
OPSWAT elvégezte az összes olyan OPSWAT termék teljes elemzését, amelyet érinthet a log4j sebezhetőség, és nem talált olyan veszélyeztetettséget, amely hatással lenne az OPSWAT termékek vagy szolgáltatások biztonságos használatára.
A MetaDefender Access Cloud, My OPSWAT és MetaDefender NAC ügyfelek számára termékajánlásokat vagy konfigurációkat közöltünk és frissítettük ezen a blogon. Jelenleg más termékeinkre nem vonatkoznak termékajánlások vagy konfigurációk.
Ha bármilyen további kérdése vagy aggálya van, kérjük, forduljon hozzánk támogatási csatornáink bármelyikén keresztül.
Frissítés - 2021. december 13., 17:00 EST
Átnéztük az összes OPSWAT technológiát és csomagot, hogy megállapítsuk, van-e köztük olyan, amelyik potenciálisan sebezhető ezzel a kihasználással szemben.
Felfedeztük, hogy a My OPSWAT (OCM) az Apache log4j könyvtárat használja egyik függőségeként - de fontos megjegyezni, hogy az OPSWAT nem azonosította a log4j sebezhetőségnek való kitettséget, amely jelenleg hatással lenne az OPSWAT termékek vagy szolgáltatások biztonságos használatára.
We do recommend customers running OCM version 7.16 or earlier, to upgrade to version 7.17 or newer, and apply a recommended configuration change to mitigate this specific exploit and others that might target the JNDI related log4j capabilities in the future. The mitigation configuration change instructions can be found in this knowledge base article.
Ha bármilyen konkrét kérdése van, kérjük, nyisson támogatási ügyet, és tájékoztasson minket ügyfélportálunkon.
Ha bármilyen változás történik, az értékelés megváltozik, továbbra is értesítjük e-mailben és blogon keresztül.
Frissítés - Dec. 13, 2021 - 12 PM EST
A 2021. december 12-i előző frissítésünk óta, amely a CVE-2021-44228, más néven log4j sebezhetőséggel kapcsolatos intézkedéseinkkel kapcsolatos, aktívan felülvizsgáljuk az összes OPSWAT technológiát és csomagot, hogy megállapítsuk, van-e köztük olyan, amely potenciálisan sebezhető ezzel a kihasználással szemben.
Az alábbiakban azokat az intézkedéseket ismertetjük, amelyeket már megtettünk a log4j exploit kockázatának csökkentése érdekében:
- MetaDefender Cloud: Az Apache log4j naplózási könyvtárban felfedezett, a támadók számára a sebezhető szerverek feletti irányítás megszerzését lehetővé tevő zero-day (CVE-2021-44228) miatt óvatosságból végrehajtottuk az ajánlott konfigurációs módosítást, amely csökkenti ennek a konkrét kihasználási módszernek, valamint a jövőben a JNDI-hez kapcsolódó Log4j-funkciókat célba vevő egyéb támadásoknak a valószínűségét. Ügyfeleink részéről nincs szükség további intézkedésre. A módosítás végrehajtása a felhasználók számára semmilyen hatással nem járt.
Ha megállapítjuk, hogy bármely más OPSWAT technológia vagy csomag potenciálisan sebezhető lehet, értesítjük az összes érintett ügyfelet erről, valamint a szükséges konfigurációs módosításokról vagy frissítésekről.
Fontos megjegyezni, hogy e frissítés időpontjában az OPSWAT nem azonosított a log4j sebezhetőségnek való kitettséget, amely jelenleg hatással lenne az OPSWAT termékek vagy szolgáltatások biztonságos használatára.
Amennyiben ez az értékelés megváltozik, az érintett ügyfeleket közvetlenül tájékoztatni fogjuk.
Ha többet szeretne megtudni erről a konkrét sebezhetőségről, a NIST írásán kívül a SANS Internet Storm Center a SANS Internet Storm Center címen egy átfogó áttekintést is közzétett. Az áttekintésünkhöz 17:00 órakor (EST) fogunk frissítést nyújtani.
Update — December 12, 2021 — 9:45 PM EST
2021. december 10-én, pénteken mi is – a technológiai közösség többi tagjával együtt – értesültünk arról, hogy egy korábban ismeretlen zero-day (CVE-2021-44228) aktívan kihasználnak a Java-alapú szoftverek egyik elterjedt összetevőjében, a log4j-ben.
Since notification, we have been actively reviewing all OPSWAT technologies and packages to determine if any are potentially vulnerable to this exploit. Please know this review continues and should we determine that any OPSWAT technology or package could potentially be vulnerable we will notify all affected customers of such as well as any required configuration changes or updates.
We are working through this review as quickly as we can. It is important to note that as of this time, OPSWAT has not assessed any material exposure to the log4j vulnerability that would impact the safe use of any OPSWAT products. Should this assessment change, we will update any affected customers directly.
December 13-án, 12:00PM EST-kor frissített felülvizsgálatot fogunk közzétenni. Ha bármilyen további kérdése vagy aggálya van, amire addig szeretne választ kapni, kérjük, forduljon hozzánk bármelyik támogatási csatornánkon keresztül.
Ha többet szeretne megtudni erről a konkrét sebezhetőségről, a NIST írásán kívül a SANS Internet Storm Center is kiadott egy átfogó áttekintést a SANS Internet Storm Center honlapján.
Köszönjük a folyamatos üzletet és partnerséget!
