Not: OPSWAT , bu blog gönderisini mevcut oldukça ek bilgilerle güncellemeye devam etmektedir
Güncelleme - Dec. 24, 2021 - ÖĞLEDEN SONRA 12:30
CVE-2021-44228 ile ilgili güncellemeleri ve gelişmeleri izlemeye devam ederken, Apache Log4j2'nin 2.0-alpha1 ila 2.16.0 (2.12.3 hariç) sürümlerinin, hizmet reddine neden olabilecek öz referanslı aramalardan kaynaklanan kontrolsüz özyinelemeye karşı koruma sağlamayabileceğini belirten CVE 2021-45105'te özetlenen son kılavuzun farkındayız.
Şu anda, bu güncellemenin CVE 2021-44228 ile ilgili olarak yayınlanan veya bildirilen herhangi bir hafifletme adımını değiştirdiğini değerlendirmiyoruz.
Herhangi bir değişiklik olursa veya değerlendirmemiz değişirse, blog aracılığıyla bildirimde bulunmaya devam edeceğiz.
Başka sorularınız veya endişeleriniz varsa, lütfen destek kanallarımızdan herhangi biri aracılığıyla bize ulaşın.
Güncelleme - Dec. 15, 2021 - ÖĞLEDEN SONRA 5
CVE-2021-44228 ile ilgili güncellemeleri ve gelişmeleri izlemeye devam ederken, CVE 2021-45046'da belirtilen ve varsayılan olmayan bazı yapılandırmalarda Apache log4j 2.15.0 için eksik düzeltmeyi ele alan son kılavuzun farkındayız.
Şu anda, bunun CVE 2021-44228 ile ilgili olarak şu anda yayınlanan herhangi bir hafifletme adımını değiştirdiğini değerlendirmiyoruz.
Herhangi bir değişiklik olursa veya değerlendirmemiz değişirse, blog aracılığıyla bildirimde bulunmaya devam edeceğiz.
Başka sorularınız veya endişeleriniz varsa, lütfen destek kanallarımızdan herhangi biri aracılığıyla bize ulaşın.
Güncelleme - 14 Aralık 2021 - 14:00 EST
OPSWAT log4j güvenlik açığından etkilenebilecek tüm OPSWAT ürünlerinin tam bir analizini tamamlamıştır ve herhangi bir OPSWAT ürününün veya hizmetinin güvenli kullanımını etkileyecek herhangi bir açık tespit etmemiştir.
Ürün önerileri veya yapılandırmaları MetaDefender Access Cloud, My OPSWAT ve MetaDefender NAC müşterilerine iletilmiş ve bu blogda güncellenmiştir. Şu anda diğer ürünlerimiz için herhangi bir ürün önerisi veya yapılandırması geçerli değildir.
Başka sorularınız veya endişeleriniz varsa, lütfen destek kanallarımızdan herhangi biri aracılığıyla bize ulaşın.
Güncelleme - 13 Aralık 2021 - 17:00 EST
Bu istismara karşı potansiyel olarak savunmasız olup olmadığını belirlemek için tüm OPSWAT teknolojilerini ve paketlerini gözden geçiriyoruz.
My OPSWAT (OCM)'nin bağımlılıklarından biri olarak Apache log4j kütüphanesini kullandığını keşfettik - ancak OPSWAT 'nin şu anda herhangi bir OPSWAT ürün veya hizmetinin güvenli kullanımını etkileyecek herhangi bir log4j güvenlik açığı tespit etmediğini belirtmek önemlidir.
OCM sürüm 7.16 veya daha önceki bir sürümü çalıştıran müşterilerinsürüm 7.17 veya daha yeni bir sürüme yükseltmelerini ve bu özel istismarı ve gelecekte JNDI ile ilgili log4j yeteneklerini hedef alabilecek diğerlerini hafifletmek için önerilen bir yapılandırma değişikliğini uygulamalarını öneririz. Azaltma yapılandırma değişikliği talimatları bu bilgi tabanı makalesinde bulunabilir.
Herhangi bir özel sorunuz varsa, lütfen bir destek vakası açın ve müşteri portalımızda bize bildirin.
Herhangi bir değişiklik olursa, değerlendirme değişikliği, e-posta ve blog aracılığıyla bildirmeye devam edeceğiz.
Güncelleme - 13 Aralık 2021 - 12 PM EST
Log4j güvenlik açığı olarak da bilinen CVE-2021-44228 ile ilgili olarak aldığımız önlemlerle ilgili 12 Aralık 2021 tarihli bir önceki güncellememizden bu yana, bu istismara karşı potansiyel olarak savunmasız olup olmadığını belirlemek için tüm OPSWAT teknolojilerini ve paketlerini aktif olarak inceliyoruz.
Log4j istismarı riskini azaltmak için halihazırda aldığımız önlemler şunlardır:
- MetaDefender Access Cloud: Apache log4j günlük kütüphanesinde keşfedilen ve saldırganların savunmasız sunucuların kontrolünü ele geçirmesini sağlayan sıfır gün güvenlik açığı (CVE-2021-44228) nedeniyle, bu özel istismar olasılığını ve gelecekte JNDI ile ilgili Log4j yeteneklerini hedef alabilecek diğerlerini azaltacak önerilen bir yapılandırma değişikliği uyguladık. Müşterilerimizin başka bir işlem yapmasına gerek yoktur. Bu işlem hiçbir kullanıcı etkisi olmadan tamamlanmıştır.
Başka herhangi bir OPSWAT teknolojisi veya paketinin potansiyel olarak güvenlik açığına sahip olabileceğini tespit edersek, etkilenen tüm müşterileri bu konuda ve gerekli yapılandırma değişiklikleri veya güncellemeleri konusunda bilgilendireceğiz.
Bu güncelleme sırasında, OPSWAT 'un şu anda herhangi bir OPSWAT ürününün veya hizmetinin güvenli kullanımını etkileyecek log4j güvenlik açığına maruz kaldığını tespit etmediğini belirtmek önemlidir.
Bu değerlendirmenin değişmesi halinde, etkilenen müşterilerimizi doğrudan bilgilendireceğiz.
Bu özel güvenlik açığı hakkında daha fazla bilgi edinmek isterseniz, NIST yazısına ek olarak SANS Internet Storm Center, SANS Internet Storm Center'da kapsamlı bir genel bakış yayınladı. EST saatiyle 17:00'de incelememizde bir güncelleme yapacağız.
Güncelleme - 12 Aralık 2021 - 9:45 EST
10 Aralık 2021 Cuma günü, teknoloji topluluğunun geri kalanıyla birlikte, log4j olarak adlandırılan java tabanlı yazılımın ortak bir bileşeninde daha önce bilinmeyen bir sıfır gün güvenlik açığının(CVE-2021-44228) aktif olarak kullanıldığına dair haberler aldık.
Bildirimden bu yana, bu istismara karşı potansiyel olarak savunmasız olup olmadığını belirlemek için tüm OPSWAT teknolojilerini ve paketlerini aktif olarak inceliyoruz. Lütfen bu incelemenin devam ettiğini ve herhangi bir OPSWAT teknolojisinin veya paketinin potansiyel olarak savunmasız olabileceğini belirlememiz durumunda, etkilenen tüm müşterileri bu konuda ve gerekli yapılandırma değişiklikleri veya güncellemeleri hakkında bilgilendireceğimizi bilin.
Bu inceleme üzerinde elimizden geldiğince hızlı bir şekilde çalışıyoruz. Şu an itibariyle OPSWAT 'un, herhangi bir OPSWAT ürününün güvenli kullanımını etkileyecek log4j güvenlik açığına yönelik herhangi bir maddi maruziyeti değerlendirmediğini belirtmek önemlidir. Bu değerlendirmenin değişmesi halinde, etkilenen müşterilerimizi doğrudan bilgilendireceğiz.
İncelememizle ilgili olarak 13 Aralık saat 12:00'de EST'de bir güncelleme yapacağız. O tarihten önce ele alınmasını istediğiniz başka sorularınız veya endişeleriniz varsa, lütfen destek kanallarımızdan herhangi biri aracılığıyla bize ulaşın.
Bu özel güvenlik açığı hakkında daha fazla bilgi edinmek isterseniz, NIST yazısına ek olarak SANS Internet Storm Center, SANS Internet Storm Center'da kapsamlı bir genel bakış yayınladı.
Devam eden işiniz ve ortaklığınız için teşekkür ederiz!
