Tatil sezonu, Java Log4j günlük kitaplığındaki kritik güvenlik açığından etkilenen yama sistemleri için yoğun olacak şekilde şekilleniyor.
IBM, ana iş ürünlerinden birkaçının Log4j hatasından etkilenen. Ay başında şirket IBM Db2 Warehouse aracınınLog4j kullanan , uzak bir saldırganın sistemde rastgele bir kod yürütmesine izin verdi. Log4j, Db2 Federation işlevinde kullanılır. IBM yayınladı özel düzeltmeler ve azaltma önlemleri paketi belirli özelliklerin yapılandırılması durumunda savunmasız olan Db2 sürüm 11.5 sistemleri için.
IBM, güvenlik ve kimlik, analitik, veritabanları, yönetilen VMware hizmetleri ve Watson AI ürünlerini kapsayan bir düzineden fazla bulut ürünü için Log4j düzeltmeleri yayınladı. Şirket ayrıca Cognos iş zekası, Güç donanımı, WebSphere ve Watson dahil olmak üzere 20 IBM şirket içi ürünü için düzeltmeler yayınladı.
IBM sürekli olarak güvenlik açığından etkilenen ürünlerin listesini güncelleyin ve onun onayladığı kişiler etkilenmedi.
Onlarca Cisco ürünü de Log4j’den etkileniyor. Cisco, kusuru düzeltmek için çok sayıda ürün yazılımı ve yama güncellemesi yayınladı.
Güncellemeleri yayınlanan ürünler aşağıdakiler : Cisco Identity Services Engine, DNA Spaces Connector, Cisco BroadWorks ve Cisco Finesee. Cisco Contact Center Domain Manager (CCDM), Cisco IOx Fog Director, Cisco Contact Center Management Portal (CCMP), Cisco Unified Communications Manager / Cisco Unified Communications Manager Session Management Edition, Cisco Video Surveillance Operations gibi diğer birçok ürün için de güncellemeler yayınlandı. Yönetici ve Cisco Connected Mobile Experiences (CMX).
sanal makine yazılımı etkilenen ürünlerin listesini de günceller, çoğu “kritik” olarak kabul edilir ve CVSS önem puanı 10 üzerinden 10’dur. Yayıncı tarafından birçok düzeltme yayınlanmış olsa da, bazı ürünler hala yama bekliyor. Yamalar mevcut olmadığında, VMware tarafından işlenen güncellemeleri yansıtmak için önerilen azaltma önlemlerini günceller. Apache Foundation’dan Log4j’nin 2.16 sürümü, geçen hafta orijinal olarak yayınlanan tamamlanmamış yamayı düzeltir.
VMware, Log4Shell olarak bilinen ve CVE 2021-44228 olarak tanımlanan hatadan etkilenen 100’den fazla ürüne sahipti.
Ancak sanallaştırma devi, Workspace ONE Unified Endpoint Management (UEM) konsolunda Log4j olmayan kritik bir Sunucu Tarafı İstek Sahteciliği (SSRF) güvenlik açığını düzeltmek için bir yama da yayınladı.
CVE-2021-22054 olarak tanımlanan bu kusur, UEM’e ağ erişimi olan bir saldırganın “kimlik doğrulaması olmadan isteklerini göndermesine ve hassas bilgilere erişmek için bu sorundan yararlanmasına” izin verebilir, VMware görüşüne göre.
Güvenlik açığı, 10 üzerinden 9,1 CVSS puanı aldı. Hata, UEM Workspace ONE konsolunun 2105, 2012, 2011 ve 2008 sürümlerini etkiler.
Siber Güvenlik ve Altyapı Güvenliği Ajansı ve Beyaz Saray uyardı ABD kuruluşları tatil sezonunda siber saldırılara karşı. Siber suçlular sık sık başlatır azaltılmış personelden yararlanmak için resmi tatillerde büyük fidye yazılımı saldırıları.
CISA’nın sahip olduğu tedarikçilerin ve ürünlerin bir listesini yayınladı Log4Shell kusurundan etkilenir. L’Hollanda siber güvenlik ajansı, etkilenen ürün ve tedarikçilerin listesini de güncelliyor, bu hafta başlarında yayınladı.
Kaynak: “ZDNet.com”