arrow_back log4j og Droid

Question

Hei,

Til info: Droid er et verktøy som benytter den etter hvert beryktede log4j-komponenten fra Apache. Jeg har laget et issue på Github, og de svarte nesten umiddelbart at ny versjon er på vei.

https://github.com/digital-preservation/droid/issues/668

Comments

Hvilke sårbarhet betyr dette i praksis for DROID v6.5 (eller tidligere versjoner) når dette jo kjøres som en java-applikasjon på en lokal klient (som av og til kan være tilknyttet internett)?
Klienten kan, hvis ikke setup har skrudde det av (?), koble seg til server for å sjekke om det finnes oppdateringer på definisjoner og container.

Eller er sårbarheten kun aktuell på web-applikasjoner, altså der klienter kan koble seg til og man kanskje i tillegg kan komme seg inn på serveren selv der dette kjører?

---

Risken er liten, ref. https://github.com/digital-preservation/droid/issues/668#issuecomment-994481696.

Men det er allikevel greit å vite om, og oppdatere når ny versjon foreligger.

---

...og der er ny versjon 6.5.1 på plass: https://www.nationalarchives.gov.uk/information-management/manage-information/preserving-digital-records/droid/