VPLEX: VPLEX eller VPLEX-klyngevidne påvirkes ikke af Apache Log4shell-sårbarheden

Sikkerhedsrisikoen i Apache Log4j Remote Code Execution, som kan udnyttes af ondsindede brugere til at kompromittere det berørte system, kan blive kørt mod et system for at se, om uautoriseret adgang kan foretages med det formål at udføre skadelig kode på systemer, der findes at være sårbare over for log4j-problemet.

Apache Log4j2 2.0-beta9 til 2.15.0 (undtagen sikkerhedsudgivelser 2.12.2, 2.12.3 og 2.3.1) JNDI-funktioner, der bruges i konfiguration, logmeddelelser og parametre, beskytter ikke mod hacker-styrede LDAP og andre JNDI-relaterede slutpunkter. En hacker, der kan styre parametre for logmeddelelser eller logfiler, kan udføre en vilkårlig kode indlæst fra LDAP-servere, når en erstatning for meddelelsessøgning er aktiveret. Fra log4j 2.15.0 er denne adfærd blevet deaktiveret som standard. Fra version 2.16.0 (sammen med 2.12.2, 2.12.3 og 2.3.1) er denne funktion helt fjernet. Bemærk, at denne sikkerhedsrisiko er specifik for log4j-core og ikke påvirker log4net, log4cxx eller andre Apache Logging Services-projekter.

Dell EMC VPLEX GeoSynchrony 6.2.x kører på Apache Log4j version 1.2.17, som ikke er sårbar over for problemet, og der kræves ingen yderligere handlinger for VPLEX eller VPLEX-klyngevidne. Desuden kører alle versioner før 6.2.x en log4j-version, som ikke er påvirket af den aktuelle sårbarhed.

Du kan finde flere oplysninger om andre Dell EMC-produkter vedrørende sårbarheden i Apache log4j i DSA KBA-000194414, Dells reaktion på Apache Log4j-sårbarhed i forbindelse med fjernudførelse af kode (CVE-2021-44228)