注意： OPSWAT 正在繼續更新這篇博文，並在其他資訊可用時提供更多資訊
Update — De c. 24, 2021 — 12:30 PM EST
隨著我們繼續監控圍繞 CVE-2021-44228 的更新和發展，我們注意到 CVE 2021-45105 中概述的最新指南，該指南表明 Apache Log4j2 版本 2.0-alpha1 到 2.16.0（不包括 2.12.3）可能無法防止自引用查找的不受控制的遞歸，這可能導致拒絕服務。
目前，我們不評估此更新是否會更改當前發佈或傳達的有關 CVE 2021-44228 的任何已發佈或已傳達的緩解步驟。
如果發生任何變化，或者我們的評估發生變化，我們將繼續透過文章通知。
如果您有任何其他問題或疑慮，請透過我們的任何 支援管道與我們聯繫。
Update — De c. 15, 2021 — 5 PM EST
隨著我們繼續監控圍繞 CVE-2021-44228 的更新和發展，我們注意到 CVE 2021-45046 中概述的最新指南，該指南解決了某些非預設配置中 Apache log4j 2.15.0 的不完整修復。
目前，我們不評估這是否會更改當前發佈的有關 CVE 2021-44228 的任何緩解步驟。
如果發生任何變化，或者我們的評估發生變化，我們將繼續透過文章通知。
如果您有任何其他問題或疑慮，請透過我們的任何 支援管道與我們聯繫。
更新 — 2021 年 12 月 14 日 — 美國東部時間下午 2 點
OPSWAT 已完成對所有 OPSWAT 可能受 Log4j 漏洞影響且未發現任何可能影響安全使用的產品 OPSWAT 產品或服務。
產品建議或配置已傳達給 MetaDefender 訪問 雲端, My OPSWAT和 MetaDefender NAC 客戶，並在此文章上更新。目前，任何產品推薦或配置均不適用於我們的任何其他產品。
如果您有任何其他問題或疑慮，請透過我們的任何 支援管道與我們聯繫。
更新 — 2021 年 12 月 13 日 — 美國東部時間下午 5 點
我們一直在審查所有 OPSWAT 技術和軟體包，以確定是否有任何可能容易受到此攻擊的攻擊。
我們發現 My OPSWAT （OCM） 使用 Apache log4j 庫作為其依賴項之一 – 但需要注意的是， OPSWAT 未發現任何暴露於log4j漏洞的風險，這些漏洞會影響任何 OPSWAT 此時的產品或服務。
We do recommend customers running OCM version 7.16 or earlier, to upgrade to version 7.17 or newer, and apply a recommended configuration change to mitigate this specific exploit and others that might target the JNDI related log4j capabilities in the future. The mitigation configuration change instructions can be found in this knowledge base article.
如果您有任何具體問題，請打開支援案例，並在 我們的客戶門戶中告知我們。
如果發生任何變化，評估發生變化，我們將繼續透過電子郵件和文章通知。
更新 — 2021 年 12 月 13 日 — 美國東部時間中午 12 點
自 2021 年 12 月 12 日上次更新以來，與我們對 CVE-2021-44228（也稱為 log4j 漏洞）採取的行動相關，我們一直在積極審查所有 OPSWAT 技術和軟體包，以確定是否有任何可能容易受到此攻擊的攻擊。
以下是我們已經採取的措施來降低log4j漏洞利用的風險：
- MetaDefender 訪問 雲端： 由於在Apache log4j 日誌庫中發現的零時差漏洞使攻擊者能夠控制易受攻擊的伺服器 （CVE-2021-44228），出於謹慎考慮，我們應用了建議的配置更改，以降低此特定漏洞的可能性以及將來可能針對 JNDI 相關 Log4j 功能的其他漏洞。我們的客戶無需採取進一步行動。此操作已完成，不會對使用者造成任何影響。
如果我們確定任何其他 OPSWAT 技術或軟體包可能容易受到攻擊，我們將通知所有受影響的客戶，以及任何所需的配置更改或更新。
在此更新時需要注意的是， OPSWAT 未發現任何暴露於log4j漏洞的風險，這些漏洞會影響任何 OPSWAT 此時的產品或服務。
如果此評估發生變化，我們將直接更新任何受影響的客戶。
如果您想了解有關此特定漏洞的更多資訊，除了 NIST 文章之外，SANS Internet Storm Center 還在 SANS Internet Storm Center 上發布了全面的概述。我們將在美國東部時間下午 5：00 更新我們的評論。
Update — December 12, 2021 — 9:45 PM EST
2021 年 12 月 10 日星期五，我們與技術社區的其他成員一起收到消息，稱在基於 Java 的軟體的常見元件（稱為 log4j）中，有人主動利用以前未知的零時差漏洞 （CVE-2021-44228）。
Since notification, we have been actively reviewing all OPSWAT technologies and packages to determine if any are potentially vulnerable to this exploit. Please know this review continues and should we determine that any OPSWAT technology or package could potentially be vulnerable we will notify all affected customers of such as well as any required configuration changes or updates.
We are working through this review as quickly as we can. It is important to note that as of this time, OPSWAT has not assessed any material exposure to the log4j vulnerability that would impact the safe use of any OPSWAT products. Should this assessment change, we will update any affected customers directly.
我們將在美國東部時間 12 月 13 日中午 12：00 提供我們的評論更新。如果您有任何其他問題或疑慮，希望在此之前得到解決，請透過我們的任何 支援管道與我們聯繫。
如果您想了解有關此特定漏洞的更多資訊，除了 NIST 文章之外，SANS Internet Storm Center 還在 SANS Internet Storm Center 上發布了全面的概述。
感謝您一直以來的業務和合作！
