Cyberduck: सीवीई-2021-44228

सीडी वास्तव में पुराने संस्करण (1.2.17) का उपयोग कर रही है https://github.com/iterate-ch/cyberduck/blob/e4c2dfe5c1e5623a5bfc484ae3f4ae58a1e929f1/pom.xml#L198 जिसमें अन्य सुरक्षा मुद्दे हैं https://www.cvedetails। कॉम/सीवी/सीवीई-2019-17571/

जैसा कि कहा गया है कि हमारे पास Apache Log4j 2 के लिए निर्भरता नहीं है। क्लाइंट साइड डेस्कटॉप एप्लिकेशन के रूप में भी यह प्रासंगिक नहीं लगता है।

@dkocher इस पर पहले कहां चर्चा की गई थी? मैंने खोजा लेकिन नहीं मिला।
सीडी log4J 1 पर निर्भर करती है, 2 नहीं, बल्कि 1 भी प्रभावित होती है https://twitter.com/nluedtke1/status/1469435658389561345
क्लाइंट साइड ऐप के रूप में भी, हो सकता है कि आप किसी ऐसे सर्वर से कनेक्ट हों जिसमें $ एस्केप वाली फ़ाइलें हों जिन्हें आप लॉग इन करते हैं और चलाते हैं।

@dkocher log4j आपके pom.xml में दिखाई देता है - तो ऐसा लगता है कि कुछ इसका उपयोग कर रहा है?

मुझे इसके लिए एक कॉन्फ़िग फ़ाइल भी दिखाई देती है - https://github.com/iterate-ch/cyberduck/blob/fa0aa0d5d7b07ec09a4c328b2c0cf9a56bf01c4d/core/src/main/resources/log4j.xml

साथ ही आपके कोड में इसका संदर्भ- https://github.com/iterate-ch/cyberduck/blob/745598c7f84e48b21d7b7b6679db926d5d6e98e4/core/src/main/java/ch/cyberduck/core/logging/LoggerPrintStream.java#L19

यह अंततः Log4j 1.x से दूर/अपग्रेड करने के लिए समझ में आता है लेकिन मुझे इस निर्भरता उन्नयन में कोई तत्काल तात्कालिकता नहीं दिखती है। मुझे नहीं लगता कि सीवीई-2019-17571 हमें प्रभावित करेगा क्योंकि मेरी समझ से इस उपयोग को स्पष्ट रूप से कॉन्फ़िगर करने की आवश्यकता होगी।

CVE-2019-17571 log4j संस्करणों>= 1.2, <= 1.2.27 से संबंधित है। साइबरडक पैकेज में, मुझे log4j-1.2.17.1 मिलता है। यह साइबरडक को प्रभावित क्यों नहीं करता, भले ही log4j का संस्करण प्रभावित हो?

क्योंकि वह भेद्यता केवल log4j सॉकेटसेवर को प्रभावित करती है, जिसका उपयोग जब दूरस्थ क्लाइंट से केंद्रीय रूप से लॉग करने के लिए किया जाता है, तो वह मनमाना कोड निष्पादित कर सकता है। साइबरडक केंद्रीय लॉगिंग लक्ष्य प्रदान नहीं कर रहा है इसलिए प्रभावित नहीं है।

लॉग डेटा के लिए अविश्वसनीय नेटवर्क ट्रैफ़िक सुनते समय

चूंकि log4j 1 समर्थन से बाहर है, कमजोरियों को ट्रैक नहीं किया जाता है और हमें यह मानना ​​​​होगा कि यह असुरक्षित है।

चूंकि log4j 1 समर्थन से बाहर है, कमजोरियों को ट्रैक नहीं किया जाता है और हमें यह मानना ​​​​होगा कि यह असुरक्षित है।

Log4j 1.x में JNDI कार्यक्षमता नहीं है जिसके कारण CVE-2021-44228

लेकिन इसमें अन्य अनिर्दिष्ट मुद्दे हो सकते हैं।

लेकिन इसमें अन्य अनिर्दिष्ट मुद्दे हो सकते हैं।

किसी भी सॉफ्टवेयर की तरह।

log4j अनुरक्षक केवल समर्थित संस्करणों पर मुद्दों को दस्तावेज़ और ठीक करते हैं। log4j 1 का उपयोग करना विंडोज एक्सपी का उपयोग करने जैसा है: आप यह भी नहीं जानते कि आप पर हमला किया जा सकता है।

पहले से ही काफी संख्या में (बड़ी) कंपनियां हैं जो कर्मचारियों के लैपटॉप पर किसी भी पुराने (कमजोर) log4j पुस्तकालयों की अनुमति नहीं देती हैं। Log4j के उचित संस्करण के बिना, साइबरडक अब काम नहीं कर रहा है क्योंकि लाइब्रेरी स्वचालित रूप से कंपनी के उपकरणों से हटा दी जाती है।

पहले से ही काफी संख्या में (बड़ी) कंपनियां हैं जो कर्मचारियों के लैपटॉप पर किसी भी पुराने (कमजोर) log4j पुस्तकालयों की अनुमति नहीं देती हैं। Log4j के उचित संस्करण के बिना, साइबरडक अब काम नहीं कर रहा है क्योंकि लाइब्रेरी स्वचालित रूप से कंपनी के उपकरणों से हटा दी जाती है।

मैंने #12706 खोला है।