与我们聊天
加载器
连接中,我们正在为您连接,请稍候。

经过改进的全新“支持与下载 ”页面现已上线!我们倾听了您的要求。请访问支持与下载体验页面,了解有关此更新的更多信息。

Apache Log4j 2 漏洞 (CVE-2021-44228) 相关信息 / [CVE-2021-45046 (2021 年 12 月 14 日)]

Zebra Technologies is actively following the security vulnerability in the open-source Apache “Log4j 2" utility (CVE-2021-44228). We are currently assessing the potential impact of the vulnerability for Zebra products and solutions. This is an ongoing event, and we will continue to provide updates through our customer communications channels. Our support page will be updated to include relevant information as it becomes available.

背景:Apache Log4j 实用工具是用于记录请求的常用组件。2021 年 12 月 9 日报告了一个漏洞,该漏洞允许系统运行 Apache Log4j 版本 2.14.1 或更低版本,从而使系统受到入侵,并允许攻击者执行任意代码。

On December 10, 2021, NIST published a critical Common Vulnerabilities and Exposure alert, CVE-2021-44228. More specifically, Java Naming Directory Interface (JNDI) features used in configuration, log messages, and parameters do not protect against attacker-controlled LDAP and other JNDI related endpoints. An attacker who can control log messages or log message parameters can execute arbitrary code loaded from remote servers when message lookup substitution is enabled.

CVE-2021-45046 (2021 年 12 月 14 日)

说明:经发现,Apache Log4j 2.15.0 中 CVE-2021-44228 的修复程序在某些非默认配置中不完整。当日志配置使用非默认模式布局和上下文查找(例如,$${ctx:loginId})或线程上下文映射模式( %X、%mdc 或 %MDC)时,这可允许攻击者控制线程上下文映射 (MDC) 输入数据,以使用 JNDI 查找模式制作恶意输入数据,从而导致拒绝服务 (DOS) 攻击。默认情况下,Log4j 2.15.0 尽力将 JNDI LDAP 查找限制在本地主机。Log4j 2.16.0 通过删除对消息查找模式的支持和默认禁用 JNDI 功能来修复此问题。

我该如何保护自己?

我们强烈建议客户咨询相关的软件供应商,并尽快为所有受影响的软件应用程序获取补丁和更新

For internally developed servers or applications we strongly encourage customers who manage environments containing Log4j 2 to update to version Log4j 2.15.0 or later per Apache's guidance https://logging.apache.org/log4j/2.x/

Support Pages For Impacted Products:

受影响的产品CVE-2021-44228 (Apache Log4j 2)日期CVE-2021-45046日期
Visibility IQ (VIQF)此漏洞的暴露风险有限;已完成修复已修复
2021 年 12 月 12 日
不受影响N/A
SOTI MobiControl v 14.3 至 15.4.1 - 托管环境此漏洞的暴露风险有限。工程部正在积极解决问题已修复
2021 年 12 月 22 日
此漏洞的暴露风险有限。工程部正在积极解决问题已修复
2021 年 12 月 22 日
PTT Pro Windows/桌面 (G1, G2)在持续评估漏洞后,我们已确定以下 Workforce Connect (WFC) 产品不受此漏洞的影响N/A在持续评估漏洞后,我们已确定以下 Workforce Connect (WFC) 产品不受此漏洞的影响N/A
Zebra Enterprise Messaging已经过调查;使用不受此漏洞影响的版本。已修复
2021 年 12 月 15 日
不受影响 N/A
Fetch此漏洞的暴露风险有限。工程部已缓解问题已修复
2021 年 12 月 12 日

此漏洞的暴露风险有限。工程部正在积极解决问题在持续评估漏洞后,我们已确定该产品不受影响。
Reflexis有完全暴露于此漏洞的风险。工程部正在积极解决问题已于 2021 年 12 月 29 日修复有完全暴露于此漏洞的风险。工程部正在积极解决问题
已于 2022 年 1 月 7 日修复
Visibility Server Software (ZLS)已经过调查;使用不受此漏洞影响的版本。已修复
2021 年 12 月 14 日
已经过调查;使用不受此漏洞影响的版本。 N/A
MotionWorks Enterprise (ZLS)漏洞已通过在启动 JVM 时设置 -Dlog4j2.formatMsgNoLookups=true 得到修复已修复
2021 年 12 月 14 日
低风险 - 使用 log4j 的组件只会在用户通过身份验证时接收请求。它们不会记录任意用户输入。已修复
2021 年 12 月 19 日
Zebra Profitect (ZPA)该漏洞的暴露风险有限。工程部已删除 IntelliJ 和 Log4J 以进行修复已修复
2021 年 12 月 10 日
不受影响 N/A
Printer Profile Manager Enterprise (PPME)

不受此漏洞影响。

3.2.7563 及更高版本删除和/或更新了与 Log4j 相关的文件和组件。

Visit the support page.

2021 年 2 月 8 日更新

不受此漏洞影响。

3.2.7563 及更高版本删除和/或更新了与 Log4j 相关的文件和组件。

Visit the support page.

2021 年 2 月 8 日更新

免责声明:Zebra 会尽力在 Google 发布安全公告时发布安全更新。但是,安全更新的交付时间可能会因地区、产品型号和第三方软件供应商而异。在某些情况下,在安装安全更新之前,必须将操作系统更新到较新的维护版本。各个产品更新将提供具体指导。

除非另有说明,新报告的问题中没有利用或滥用活跃客户信息的现象。



您了解 Zebra Technologies 产品的潜在安全问题吗?