Porozmawiaj z nami
Loader
Ustanawianie połączenia, prosimy o cierpliwość.

Apache Log4j 2 Vulnerability (CVE-2021-44228) Information / [CVE-2021-45046 (Dec 14, 2021)]

Zebra Technologies is actively following the security vulnerability in the open-source Apache “Log4j 2" utility (CVE-2021-44228). We are currently assessing the potential impact of the vulnerability for Zebra products and solutions. Robimy to nieustannie i zamierzamy kontynuować dostarczanie aktualizacji za pośrednictwem naszych kanałów komunikacji z klientami. Nasz strona pomocy technicznej zostanie zaktualizowana i będzie zawierała bieżące informacje, gdy tylko będą one dostępne.

Background: The Apache Log4j utility is a commonly used component for logging requests. On December 9, 2021, a vulnerability was reported that could allow a system running Apache Log4j version 2.14.1 or below to be compromised and allow an attacker to execute arbitrary code.

On December 10, 2021, NIST published a critical Common Vulnerabilities and Exposure alert, CVE-2021-44228. Uściślając, funkcje Java Naming Directory Interface (JNDI) używane w konfiguracji, dzienniku wiadomości i parametrach, nie chroni przed atakiem z przejęciem LDAP lub innych punktów końcowych związanych z JNDI. Atakujący, który potrafi przejąć rejestr wiadomości lub parametry rejestru wiadomości, może uruchomić arbitralny kod przesłany ze zdalnych serwerów, gdy substytut wyszukiwania wiadomości jest włączony.

CVE-2021-45046 (Dec 14, 2021)

Description: It was found that the fix to address CVE-2021-44228 in Apache Log4j 2.15.0 was incomplete in certain non-default configurations. Pozwalało ono atakującym przejęcie kontroli nad wprowadzanymi danymi z mapy kontekstowej wątków (MDC), gdy rejestr konfiguracji wykorzystuje niestandardowy układ wzorów do wyszukiwania kontekstowego (np. $${ctx:loginId}) lub wzoru mapy kontekstowej wątków (%X, %mdc lub %MDC) do stworzenia szkodliwych danych wejściowych we wzorcu wyszukiwania JNDI, co może skutkować atakiem typu DOS. Log4j 2.15.0 makes a best-effort attempt to restrict JNDI LDAP lookups to localhost by default. Log4j 2.16.0 fixes this issue by removing support for message lookup patterns and disabling JNDI functionality by default.

Co mogę zrobić, aby zapewnić sobie ochronę?

Gorąco zachęcamy naszych klientów do skonsultowania się z dostawcami SW i jak najszybszego pobrania łatek bezpieczeństwa oraz aktualizacji dla wszystkich zastosowań SW.

For internally developed servers or applications we strongly encourage customers who manage environments containing Log4j 2 to update to version Log4j 2.15.0 or later per Apache's guidance https://logging.apache.org/log4j/2.x/

STRONY POMOCY TECHNICZNEJ DOTYCZĄCE PRODUKTÓW, NA KTÓRE MA TO WPŁYW:

Produkt, którego dotyczy problem CVE-2021-44228 (Apache Log4j 2) Data CVE-2021-45046 Data
Visibility IQ (VIQF) Ograniczona ekspozycja na tę podatność; rozwiązanie gotowe Rozwiązano
Dec 12th, 2021
Nie ma wpływu N/a
SOTI MobiControl w wersji 14.3 do 15.4.1 – Środowiska hostingowe Ograniczona ekspozycja na tę podatność. Dział techniczny aktywnie pracuje nad rozwiązaniem Rozwiązano
Dec 22nd, 2021
Ograniczona ekspozycja na tę podatność. Dział techniczny aktywnie pracuje nad rozwiązaniem Rozwiązano
Dec 22nd, 2021
PTT Pro Windows/Desktop (G1, G2) Po wydłużonej ocenie podatności, następujące produkty Workforce Connect (WFC) zostały określone jako nieobjęte tą podatnością. N/a Po wydłużonej ocenie podatności, następujące produkty Workforce Connect (WFC) zostały określone jako nieobjęte tą podatnością. N/a
Komunikator Zebra Enterprise Po sprawdzeniu; używana wersja nie jest objętą tą podatnością. Rozwiązano
Dec 15, 2021
Nie ma wpływu N/a
Fetch Ograniczona ekspozycja na tę podatność. Dział techniczny złagodził skutki problemu Rozwiązano
Dec 12th, 2021

Ograniczona ekspozycja na tę podatność. Dział techniczny aktywnie pracuje nad rozwiązaniem Po trwającej ocenie podatności, ten produkt został sklasyfikowany jako nie podlegający podatności.
Reflexis Pełna ekspozycja na tę podatność; dział techniczny aktywnie pracuje nad rozwiązaniem Remediated Dec 29th, 2021 Pełna ekspozycja na tę podatność; dział techniczny aktywnie pracuje nad rozwiązaniem
Remediated Jan 7th, 2022
Visibility Server Software (ZLS) Po sprawdzeniu; używana wersja nie jest objętą tą podatnością. Rozwiązano
Dec 14, 2021
Po sprawdzeniu; używana wersja nie jest objętą tą podatnością. N/a
MotionWorks Enterprise (ZLS) Remediated vulnerability by setting -Dlog4j2.formatMsgNoLookups=true when starting JVM Rozwiązano
Dec 14, 2021
Low Risk - The components use log4j will only receive requests when the user is authenticated. Nie rejestrują arbitrarnych danych wejściowych użytkowników. Rozwiązano
Dec 19, 2021
Zebra Profitect (ZPA) Ograniczona ekspozycja na tę podatność. Engineering as removed IntelliJ and Log4J to remediate Rozwiązano
Dec 10th, 2021
Nie ma wpływu N/a
Printer Profile Manager Enterprise (PPME)

Nieobjęte tą podatnością.

Version 3.2.7563 and later removes and/or updates files and components related to Log4j.

Przejdź na stronę wsparcia.

Updated Feb 8th, 2021

Nieobjęte tą podatnością.

Version 3.2.7563 and later removes and/or updates files and components related to Log4j.

Przejdź na stronę wsparcia.

Updated Feb 8th, 2021

Zastrzeżenie: firma Zebra podejmuje wszelkie próby wydania aktualizacji zabezpieczeń w momencie wydania przez Google odpowiedniego biuletynu zabezpieczeń. Jednak czas dostawy aktualizacji zabezpieczeń może się różnić w zależności od regionu, modelu produktu i dostawców oprogramowania innych firm. W pewnych okolicznościach system operacyjny musi zostać zaktualizowany do najnowszej wersji konserwacji przed zainstalowaniem aktualizacji zabezpieczeń. Indywidualne aktualizacje produktów będą dostarczać konkretnych wskazówek.

O ile nie zaznaczono inaczej, nie było doniesień o aktywnej eksploatacji klienta lub nadużycia z tych nowo zgłoszonych problemów.



Czy jesteś świadomy potencjalnego problemu z bezpieczeństwem produktu Zebra Technologies?