投稿
  1. 谷达鸭首页
  2. 投稿

金融业恐沦Log4j漏洞风暴最大受害者！ 可能有高达一半比例的公司各自使用10个以上有漏洞的版本

technews • • 投稿

企业如果想要因应Log4j漏洞的危机，首先要先清查自己到底有多少系统使用了有漏洞的Log4j版本，而根据国内一家厂商对用户进行的调查，许多产业都无法幸免，但其中，金融业所要处理的Log4j漏洞管理作业可能最繁重，因为他们的金融业用户中，使用有漏洞Log4j版本超过10个的公司，竟高达50%

关于震撼整个IT界的Log4j漏洞，在12月24日，我们根据开放源代码软件资安业者Sonatype的数据，指出是全球下载有漏洞Log4j版本比例最高的地区，一度高达85.06%，截至12月30日为止，仍是下载Log4j 2.15以前版本比例最高的地区，但已降为79.44%，显示有降温的现象。

为了从其他角度了解企业相关问题的严重性，我们洽询另一家开放源代码软件资安厂商WhiteSource代理商叡扬信息，是否有相关的情报可公开让大家参考。 而由于该公司也代理多款代码安全检测软件，本身也兼具独立软件开发商等多重身份，虽然无法全然代表整个软体产业与资安产品所面临的状况，但他们如果已经能归纳出一些现象，也显示相关问题已达到非常严重的地步，因为这只是冰山一角。

这次Log4j漏洞影响的版本涵盖1.x与2.x，2001年1月8日发布的1.0版，若追溯到最初于1999年开始发展这个项目，至今已超过20年，后续的1.2版则从2002年开始，一路发展到2012年发布的1.2.17版，而2.0版则是2014年7月释出。

关于每个公司或单位使用这些有漏洞版本的数量，叡扬针对多个产业、约30家用户进行调查。 整体而言，因为Java是各大企业必用的重要程式语言之一，因此，叡扬的用户绝大部分都使用了Log4J，金融业、科技与制造业、电信业都是100%，政府机构与财团法人则是95%，而没有使用的用户，主要是因为他们采用的程式语言是. NET或非Java的语言。

根据他们在12月10日到17日的初步统计，使用Log4J 1.2.x 版本的用户超过97%，这些用户中，有超过六成是Log4J 1.x and 2.x均使用。

以金融业（包括银行、证券、寿险等）而言，有多达50%的公司使用了10个以上有漏洞版本，使用1到3个有漏洞版本为24%，使用4到6个有漏洞版本与使用7到9个有漏洞版本的比例，均为13%。

金融业恐沦Log4j漏洞风暴最大受害者！ 可能有高达一半比例的公司各自使用10个以上有漏洞的版本

而在政府与法人，以及科技与制造等产业，均有86%的公司使用1到3个有漏洞版本，而使用7到9个有漏洞版本的公司比例为14%。

金融业恐沦Log4j漏洞风暴最大受害者！ 可能有高达一半比例的公司各自使用10个以上有漏洞的版本
金融业恐沦Log4j漏洞风暴最大受害者！ 可能有高达一半比例的公司各自使用10个以上有漏洞的版本
赞 (0)
打赏 微信扫一扫 微信扫一扫
technewstechnews认证作者
0 0

相关推荐

发表评论

登录后才能评论