Chatta con noi
Caricatore
Connessione in corso, attendere mentre vi connettiamo.

Le nuove pagine di Supporto e download sono ora ottimizzate e attive! Avete chiesto e vi abbiamo ascoltato. Visita la pagina dell'esperienza Supporto e download per saperne di più su questo aggiornamento.

Informazioni sulla vulnerabilità Apache Log4j 2 (CVE-2021-44228) / [CVE-2021-45046 (Dec 14, 2021)]

Zebra Technologies is actively following the security vulnerability in the open-source Apache “Log4j 2" utility (CVE-2021-44228). Al momento stiamo valutando il potenziale impatto della vulnerabilità per i prodotti e le soluzioni Zebra. Si tratta di un evento ancora in corso e continueremo a offrire aggiornamenti sui nostri canali di comunicazione con i clienti. La nostra pagina di supporto verrà aggiornata per includere informazioni rilevanti quando saranno disponibili.

Contesto: l'utilità Apache Log4j è un componente di uso comune per la registrazione di richieste. Il 9 dicembre 2021 è stata segnalata una vulnerabilità che potrebbe causare la compromissione di un sistema su cui giri Apache Log4j versione 2.14.1 o precedente e potrebbe permettere a un utente malintenzionato di eseguire codice arbitrario.

On December 10, 2021, NIST published a critical Common Vulnerabilities and Exposure alert, CVE-2021-44228. Più precisamente, le caratteristiche di Java Naming Directory Interface (JNDI) utilizzate nella configurazione, nei messaggi di log e nei parametri non proteggono contro le LDAP controllate da utenti malintenzionati e altri endpoint legati alla JNDI. Un utente malintenzionato in grado di controllare i messaggi di log o i parametri dei messaggi di log può eseguire codice arbitrario caricato da server remoti quando è abilitata la sostituzione di ricerca messaggi.

CVE-2021-45046 (14 dicembre 2021)

Descrizione: si è scoperto che la correzione per affrontare la CVE-2021-44228 in Apache Log4j 2.15.0 era incompleta in alcune configurazioni non predefinite. Ciò potrebbe permettere a utenti malintenzionati con controllo sui dati di input di Thread Context Map (MDC), quando la configurazione di registrazione utilizza un Pattern Layout non predefinito con un Context Lookup (per esempio, $${ctx:loginId}) o uno schema Thread Context Map (%X, %mdc o %MDC), di creare dati di input dannosi utilizzando uno schema JNDI Lookup che può risultare in un attacco di negazione del servizio (DOS). Log4j 2.15.0 fa ogni sforzo possibile per limitare per default i lookup JNDI LDAPpt all'host locale Log4j 2.16.0 rimedia a questo problema rimuovendo il supporto per gli schemi di lookup e disabilitando la funzionalità JNDI per default.

Cosa dovrei fare per proteggermi?

Raccomandiamo vivamente i clienti a consultare i propri fornitori di SW e ottenere patch e aggiornamenti il prima possibile per tutte le applicazioni SW coinvolte

For internally developed servers or applications we strongly encourage customers who manage environments containing Log4j 2 to update to version Log4j 2.15.0 or later per Apache's guidance https://logging.apache.org/log4j/2.x/

Support Pages For Impacted Products:

Prodotto interessatoCVE-2021-44228 (Apache Log4j 2)DataCVE-2021-45046Data
Visibility IQ (VIQF)Esposizione limitata a questa vulnerabilità; correzione completaCorretta
12 dicembre 2021
Non interessatonon pertinente
SOTI MobiControl v 14.3 to 15.4.1 - Ambienti ospitiEsposizione limitata a questa vulnerabilità. Il team di progettazione sta lavorando attivamente a una soluzioneCorretta
22 dicembre 2021
Esposizione limitata a questa vulnerabilità. Il team di progettazione sta lavorando attivamente a una soluzioneCorretta
22 dicembre 2021
PTT Pro Windows/Desktop (G1, G2)Dopo una valutazione continua della vulnerabilità, è stato stabilito che i seguenti prodotti Workforce Connect (WFC) non sono stati colpiti da questa vulnerabilitànon pertinenteDopo una valutazione continua della vulnerabilità, è stato stabilito che i seguenti prodotti Workforce Connect (WFC) non sono stati colpiti da questa vulnerabilitànon pertinente
Zebra Enterprise MessagingAnalisi conclusa; versione in uso non interessata da questa vulnerabilitàCorretta
15 dicembre 2021
Non interessato non pertinente
FetchEsposizione limitata a questa vulnerabilità. Il team di progettazione ha mitigato il problemaCorretta
12 dicembre 2021

Esposizione limitata a questa vulnerabilità. Il team di progettazione sta lavorando attivamente a una soluzioneDopo una valutazione continua della vulnerabilità, è stato stabilito che questo prodotto non è stato colpito.
ReflexisEsposizione completa a questa vulnerabilità; il team di progettazione sta lavorando attivamente a una soluzioneCorretta il 29 dicembre 2021Esposizione completa a questa vulnerabilità; il team di progettazione sta lavorando attivamente a una soluzione
Corretta il 7 gennaio 2022
Visibility Server Software (ZLS)Analisi conclusa; versione in uso non interessata da questa vulnerabilitàCorretta
14 dicembre 2021
Analisi conclusa; versione in uso non interessata da questa vulnerabilità non pertinente
MotionWorks Enterprise (ZLS)Vulnerabilità corretta impostando -Dlog4j2.formatMsgNoLookups=true all'avvio della JVMCorretta
14 dicembre 2021
Basso rischio - I componenti che utilizzano log4j riceveranno richieste solo quando l'utente è autenticato. Non registrano input utente arbitrari Corretta
19 dicembre 2021
Zebra Profitect (ZPA)Esposizione limitata a questa vulnerabilità. Il team di progettazione ha rimosso IntelliJ e Log4J per rimediareCorretta
10 dicembre 2021
Non interessato non pertinente
Printer Profile Manager Enterprise (PPME)

Non interessata da questa vulnerabilità.

La versione 3.2.7563 e le successive rimuovono e/o aggiornano file e componenti relativi a Log4j.

Visit the support page.

Aggiornato l'8 febbraio 2021

Non interessata da questa vulnerabilità.

La versione 3.2.7563 e le successive rimuovono e/o aggiornano file e componenti relativi a Log4j.

Visit the support page.

Aggiornato l'8 febbraio 2021

Disclaimer: Zebra fa ogni tentativo di rilasciare gli aggiornamenti di sicurezza il o circa il momento in cui Google rilascia il suo rispettivo bollettino sulla sicurezza. Tuttavia, i tempi di consegna degli aggiornamenti della sicurezza possono variare a seconda dell'area geografica, del modello prodotto e dei fornitori di software di terze parti. In alcune circostanze, il sistema operativo deve essere aggiornato alla versione di manutenzione più recente prima di installare gli aggiornamenti della protezione. I singoli aggiornamenti dei prodotti forniranno indicazioni specifiche.

Se non diversamente specificato, non sono state rilevate segnalazioni di sfruttamento attivo da parte dei clienti o abusi da questi problemi segnalati di recente.



Sei a conoscenza di un potenziale problema di sicurezza con un prodotto di Zebra Technologies?