Not: OPSWAT , bu blog gönderisini mevcut oldukça ek bilgilerle güncellemeye devam etmektedir
Update — De c. 24, 2021 — 12:30 PM EST
CVE-2021-44228 ile ilgili güncellemeleri ve gelişmeleri izlemeye devam ederken, Apache Log4j2'nin 2.0-alpha1 ila 2.16.0 (2.12.3 hariç) sürümlerinin, hizmet reddine neden olabilecek öz referanslı aramalardan kaynaklanan kontrolsüz özyinelemeye karşı koruma sağlamayabileceğini belirten CVE 2021-45105'te özetlenen son kılavuzun farkındayız.
Şu anda, bu güncellemenin CVE 2021-44228 ile ilgili olarak yayınlanan veya bildirilen herhangi bir hafifletme adımını değiştirdiğini değerlendirmiyoruz.
Herhangi bir değişiklik olursa veya değerlendirmemiz değişirse, blog aracılığıyla bildirimde bulunmaya devam edeceğiz.
Başka sorularınız veya endişeleriniz varsa, lütfen destek kanallarımızdan herhangi biri aracılığıyla bize ulaşın.
Update — De c. 15, 2021 — 5 PM EST
CVE-2021-44228 ile ilgili güncellemeleri ve gelişmeleri izlemeye devam ederken, CVE 2021-45046'da belirtilen ve varsayılan olmayan bazı yapılandırmalarda Apache log4j 2.15.0 için eksik düzeltmeyi ele alan son kılavuzun farkındayız.
Şu anda, bunun CVE 2021-44228 ile ilgili olarak şu anda yayınlanan herhangi bir hafifletme adımını değiştirdiğini değerlendirmiyoruz.
Herhangi bir değişiklik olursa veya değerlendirmemiz değişirse, blog aracılığıyla bildirimde bulunmaya devam edeceğiz.
Başka sorularınız veya endişeleriniz varsa, lütfen destek kanallarımızdan herhangi biri aracılığıyla bize ulaşın.
Güncelleme - 14 Aralık 2021 - 14:00 EST
OPSWAT log4j güvenlik açığından etkilenebilecek tüm OPSWAT ürünlerinin tam bir analizini tamamlamıştır ve herhangi bir OPSWAT ürününün veya hizmetinin güvenli kullanımını etkileyecek herhangi bir açık tespit etmemiştir.
Ürün önerileri veya yapılandırmaları MetaDefender Access Cloud, My OPSWAT ve MetaDefender NAC müşterilerine iletilmiş ve bu blogda güncellenmiştir. Şu anda diğer ürünlerimiz için herhangi bir ürün önerisi veya yapılandırması geçerli değildir.
Başka sorularınız veya endişeleriniz varsa, lütfen destek kanallarımızdan herhangi biri aracılığıyla bize ulaşın.
Güncelleme - 13 Aralık 2021 - 17:00 EST
Bu istismara karşı potansiyel olarak savunmasız olup olmadığını belirlemek için tüm OPSWAT teknolojilerini ve paketlerini gözden geçiriyoruz.
My OPSWAT (OCM)'nin bağımlılıklarından biri olarak Apache log4j kütüphanesini kullandığını keşfettik - ancak OPSWAT 'nin şu anda herhangi bir OPSWAT ürün veya hizmetinin güvenli kullanımını etkileyecek herhangi bir log4j güvenlik açığı tespit etmediğini belirtmek önemlidir.
We do recommend customers running OCM version 7.16 or earlier, to upgrade to version 7.17 or newer, and apply a recommended configuration change to mitigate this specific exploit and others that might target the JNDI related log4j capabilities in the future. The mitigation configuration change instructions can be found in this knowledge base article.
Herhangi bir özel sorunuz varsa, lütfen bir destek vakası açın ve müşteri portalımızda bize bildirin.
Herhangi bir değişiklik olursa, değerlendirme değişikliği, e-posta ve blog aracılığıyla bildirmeye devam edeceğiz.
Güncelleme - 13 Aralık 2021 - 12 PM EST
Log4j güvenlik açığı olarak da bilinen CVE-2021-44228 ile ilgili olarak aldığımız önlemlerle ilgili 12 Aralık 2021 tarihli bir önceki güncellememizden bu yana, bu istismara karşı potansiyel olarak savunmasız olup olmadığını belirlemek için tüm OPSWAT teknolojilerini ve paketlerini aktif olarak inceliyoruz.
Log4j istismarı riskini azaltmak için halihazırda aldığımız önlemler şunlardır:
- MetaDefender Access Cloud: Apache log4j günlük kütüphanesinde keşfedilen ve saldırganların savunmasız sunucuların kontrolünü ele geçirmesini sağlayan sıfır gün güvenlik açığı (CVE-2021-44228) nedeniyle, bu özel istismar olasılığını ve gelecekte JNDI ile ilgili Log4j yeteneklerini hedef alabilecek diğerlerini azaltacak önerilen bir yapılandırma değişikliği uyguladık. Müşterilerimizin başka bir işlem yapmasına gerek yoktur. Bu işlem hiçbir kullanıcı etkisi olmadan tamamlanmıştır.
Başka herhangi bir OPSWAT teknolojisi veya paketinin potansiyel olarak güvenlik açığına sahip olabileceğini tespit edersek, etkilenen tüm müşterileri bu konuda ve gerekli yapılandırma değişiklikleri veya güncellemeleri konusunda bilgilendireceğiz.
Bu güncelleme sırasında, OPSWAT 'un şu anda herhangi bir OPSWAT ürününün veya hizmetinin güvenli kullanımını etkileyecek log4j güvenlik açığına maruz kaldığını tespit etmediğini belirtmek önemlidir.
Bu değerlendirmenin değişmesi halinde, etkilenen müşterilerimizi doğrudan bilgilendireceğiz.
Bu özel güvenlik açığı hakkında daha fazla bilgi edinmek isterseniz, NIST yazısına ek olarak SANS Internet Storm Center, SANS Internet Storm Center'da kapsamlı bir genel bakış yayınladı. EST saatiyle 17:00'de incelememizde bir güncelleme yapacağız.
Update — December 12, 2021 — 9:45 PM EST
10 Aralık 2021 Cuma günü, teknoloji topluluğunun geri kalanıyla birlikte, log4j olarak adlandırılan java tabanlı yazılımın ortak bir bileşeninde daha önce bilinmeyen bir sıfır gün güvenlik açığının(CVE-2021-44228) aktif olarak kullanıldığına dair haberler aldık.
Since notification, we have been actively reviewing all OPSWAT technologies and packages to determine if any are potentially vulnerable to this exploit. Please know this review continues and should we determine that any OPSWAT technology or package could potentially be vulnerable we will notify all affected customers of such as well as any required configuration changes or updates.
We are working through this review as quickly as we can. It is important to note that as of this time, OPSWAT has not assessed any material exposure to the log4j vulnerability that would impact the safe use of any OPSWAT products. Should this assessment change, we will update any affected customers directly.
İncelememizle ilgili olarak 13 Aralık saat 12:00'de EST'de bir güncelleme yapacağız. O tarihten önce ele alınmasını istediğiniz başka sorularınız veya endişeleriniz varsa, lütfen destek kanallarımızdan herhangi biri aracılığıyla bize ulaşın.
Bu özel güvenlik açığı hakkında daha fazla bilgi edinmek isterseniz, NIST yazısına ek olarak SANS Internet Storm Center, SANS Internet Storm Center'da kapsamlı bir genel bakış yayınladı.
Devam eden işiniz ve ortaklığınız için teşekkür ederiz!
