注意： OPSWAT 正在繼續更新這篇博文，並在其他資訊可用時提供更多資訊
更新 — 2021 年 1 月 24 日 — 美國東部時間下午 12：30
隨著我們繼續監控圍繞 CVE-2021-44228 的更新和發展，我們注意到 CVE 2021-45105 中概述的最新指南，該指南表明 Apache Log4j2 版本 2.0-alpha1 到 2.16.0（不包括 2.12.3）可能無法防止自引用查找的不受控制的遞歸，這可能導致拒絕服務。
目前，我們不評估此更新是否會更改當前發佈或傳達的有關 CVE 2021-44228 的任何已發佈或已傳達的緩解步驟。
如果發生任何變化，或者我們的評估發生變化，我們將繼續透過文章通知。
如果您有任何其他問題或疑慮，請透過我們的任何 支援管道與我們聯繫。
更新 — 2021 年 15 月 15 日 — 美國東部時間下午 5 點
隨著我們繼續監控圍繞 CVE-2021-44228 的更新和發展，我們注意到 CVE 2021-45046 中概述的最新指南，該指南解決了某些非預設配置中 Apache log4j 2.15.0 的不完整修復。
目前，我們不評估這是否會更改當前發佈的有關 CVE 2021-44228 的任何緩解步驟。
如果發生任何變化，或者我們的評估發生變化，我們將繼續透過文章通知。
如果您有任何其他問題或疑慮，請透過我們的任何 支援管道與我們聯繫。
更新 — 2021 年 12 月 14 日 — 美國東部時間下午 2 點
OPSWAT 已完成對所有 OPSWAT 可能受 Log4j 漏洞影響且未發現任何可能影響安全使用的產品 OPSWAT 產品或服務。
產品建議或配置已傳達給 MetaDefender 訪問 雲端, My OPSWAT和 MetaDefender NAC 客戶，並在此文章上更新。目前，任何產品推薦或配置均不適用於我們的任何其他產品。
如果您有任何其他問題或疑慮，請透過我們的任何 支援管道與我們聯繫。
更新 — 2021 年 12 月 13 日 — 美國東部時間下午 5 點
我們一直在審查所有 OPSWAT 技術和軟體包，以確定是否有任何可能容易受到此攻擊的攻擊。
我們發現 My OPSWAT （OCM） 使用 Apache log4j 庫作為其依賴項之一 – 但需要注意的是， OPSWAT 未發現任何暴露於log4j漏洞的風險，這些漏洞會影響任何 OPSWAT 此時的產品或服務。
我們建議運行 OCM 版本 7.16 或更早版本的客戶升級到版本 7.17 或更高版本，並應用建議的配置更改來緩解此特定漏洞以及將來可能針對 JNDI 相關 log4j 功能的其他漏洞。 可以在此知識庫文章中找到緩解配置更改說明。
如果您有任何具體問題，請打開支援案例，並在 我們的客戶門戶中告知我們。
如果發生任何變化，評估發生變化，我們將繼續透過電子郵件和文章通知。
更新 — 2021 年 12 月 13 日 — 美國東部時間中午 12 點
自 2021 年 12 月 12 日上次更新以來，與我們對 CVE-2021-44228（也稱為 log4j 漏洞）採取的行動相關，我們一直在積極審查所有 OPSWAT 技術和軟體包，以確定是否有任何可能容易受到此攻擊的攻擊。
以下是我們已經採取的措施來降低log4j漏洞利用的風險：
- MetaDefender 訪問 雲端： 由於在Apache log4j 日誌庫中發現的零時差漏洞使攻擊者能夠控制易受攻擊的伺服器 （CVE-2021-44228），出於謹慎考慮，我們應用了建議的配置更改，以降低此特定漏洞的可能性以及將來可能針對 JNDI 相關 Log4j 功能的其他漏洞。我們的客戶無需採取進一步行動。此操作已完成，不會對使用者造成任何影響。
如果我們確定任何其他 OPSWAT 技術或軟體包可能容易受到攻擊，我們將通知所有受影響的客戶，以及任何所需的配置更改或更新。
在此更新時需要注意的是， OPSWAT 未發現任何暴露於log4j漏洞的風險，這些漏洞會影響任何 OPSWAT 此時的產品或服務。
如果此評估發生變化，我們將直接更新任何受影響的客戶。
如果您想了解有關此特定漏洞的更多資訊，除了 NIST 文章之外，SANS Internet Storm Center 還在 SANS Internet Storm Center 上發布了全面的概述。我們將在美國東部時間下午 5：00 更新我們的評論。
更新 — 2021 年 12 月 12 日 — 美國東部時間晚上 9：45
2021 年 12 月 10 日星期五，我們與技術社區的其他成員一起收到消息，稱在基於 Java 的軟體的常見元件（稱為 log4j）中，有人主動利用以前未知的零時差漏洞 （CVE-2021-44228）。
自通知以來，我們一直在積極審查所有 OPSWAT 技術和軟體包，以確定是否有任何可能容易受到此攻擊的攻擊。請知道此審查仍在繼續，如果我們確定任何 OPSWAT 技術或軟體包可能容易受到攻擊，我們將通知所有受影響的客戶，以及任何所需的配置更改或更新。
我們正在儘快完成這項審查。需要注意的是，截至目前， OPSWAT 尚未評估任何可能影響安全使用的Log4j漏洞的重大暴露 OPSWAT 產品。如果此評估發生變化，我們將直接更新任何受影響的客戶。
我們將在美國東部時間 12 月 13 日中午 12：00 提供我們的評論更新。如果您有任何其他問題或疑慮，希望在此之前得到解決，請透過我們的任何 支援管道與我們聯繫。
如果您想了解有關此特定漏洞的更多資訊，除了 NIST 文章之外，SANS Internet Storm Center 還在 SANS Internet Storm Center 上發布了全面的概述。
感謝您一直以來的業務和合作！
