अपाचे लॉग4जे भेद्यता का अवलोकन
अपाचे लॉग4जे भेद्यता (सीवीई-2021-44228विवरण जारी कर दिए गए हैं। अनुमान है कि दुनिया भर के एक तिहाई सर्वर प्रभावित होंगे (डब्ल्यूबीएस से, 15 दिसंबर)।
जिन प्रणालियों में उपयोगकर्ता द्वारा दर्ज किए गए मानों और सूचनाओं को लॉग में आउटपुट किया जाता है, उनमें यह संभावना होती है कि यदि कोई दुर्भावनापूर्ण बाहरी उपयोगकर्ता हमला करता है तो रिमोट कोड निष्पादित हो सकता है।
यद्यपि 15 दिसंबर से निवारक उपाय लागू किए जा चुके हैं, फिर भी भ्रम की स्थिति बनी हुई है क्योंकि हमें IPA और अन्य स्रोतों से जानकारी मिल रही है कि अतिरिक्त कार्रवाई आवश्यक हो सकती है। हमारी कंपनी ने व्यापक निवारक उपाय लागू किए हैं, जिनमें नवीनतम Log4j अपडेट और JndiLookup क्लास को क्लासपाथ से हटाना शामिल है, जो समस्या का मूल कारण है।
प्रभावित उत्पाद और हमारी प्रतिक्रिया
चैट और मैसेंजर डेस्कटॉप, वेब ऐप, मोबाइल ऐप
कोई प्रभाव नहीं (संबंधित लाइब्रेरी का कोई उपयोग नहीं, जिसमें पिछले संस्करण भी शामिल हैं)
ऑन-प्रिमाइस सीएएम सर्वर
ऑन-प्रिमाइसेस सीएएम सर्वर वीडियो सर्वर स्टार्टअपयह नियम तब लागू होता है जब आप ऐसा कर रहे हों।
वेब कॉन्फ्रेंसिंग के लिए वीडियो सर्वर संबंधित लाइब्रेरी पर निर्भर था, लेकिन लॉग में उपयोगकर्ता की जानकारी आउटपुट करने वाली कोई प्रक्रिया मौजूद नहीं थी। हमने सिस्टम एडमिनिस्ट्रेटर को सूचित कर दिया है और संस्करण अपग्रेड और अन्य आवश्यक कार्यों में उनकी सहायता करेंगे।
चैट और मैसेंजर क्लाउड सर्वर
हमारे क्लाउड-आधारित वेब कॉन्फ्रेंसिंग वीडियो सर्वर की निर्भरता संबंधित लाइब्रेरी पर थी, लेकिन ऐसी कोई प्रक्रिया नहीं थी जो उपयोगकर्ता की जानकारी को लॉग में आउटपुट करती हो।
वीडियो सर्वर का अपडेट 14 दिसंबर को लागू किया गया था।