Sebastien DuquetteI fredags blev der opdaget en kritisk sårbarhed i Apache log4j-projektet (CVE-2021-44228). For software, der bruger biblioteket, kan det at logge en streng i et bestemt format føre til fjernafvikling af kode. Log4j 2.15 retter problemet, og vi anbefaler vores brugere at opdatere de berørte produkter hurtigst muligt.
Vi har gennemført en grundig gennemgang og kan bekræfte, at produkter og tjenester fra Devolutions ikke er berørt af sårbarheden.
Detaljer og afhjælpning
LunaSec har udgivet en god forklaring af, hvordan sårbarheden kan udnyttes, hvis du vil kende detaljerne. Kort fortalt kan en sårbar applikation, blot ved at logge en streng i et bestemt format, bringes til at hente og afvikle vilkårlig kode fra en fjern LDAP-server. Fordi log4j er det faktiske standardbibliotek til logning i Java-applikationer, er et meget stort antal systemer og tjenester berørt.
Projekter, der bruger log4j, bør opdatere til version 2.15 hurtigst muligt. log4j-projektet beskriver også andre afhjælpningstrin.
Vi anbefaler også vores brugere at opdatere de systemer, der er berørt af sårbarheden. Nationaal Cyber Security Centrum har udgivet en liste med sårbarhedsstatus for produkter fra store leverandører.