Tietoa kriittisestä tietoturvahaavoittuvuudesta

Log4J – päivitys

Langenhagen, Saksa, 17. joulukuuta 2021

Konica Minolta on tietoinen kriittisestä Apache Log4j-komponenttiin kohdistuvasta korkeimman luokan tietoturvahaavoittuvuudesta, joka vaikuttaa tiettyihin sovelluksiin ja palveluihin.

 
Tietoturvatutkijat löysivät haavoittuvuuden CVE-2021-44228 Apache Java logging library Log4j:ssä. Tietoturvaheikkous kohdistuu standardin mukaiseen menetelmään käsitellä lokiviestejä ohjelmistoissa. Haavoittuvuuden avulla hyökkääjän on mahdollista suorittaa etänä mielivaltaisia komentoja sovelluspalvelimelle Log4j-prosessin oikeuksilla. Apache Log4J-komponentti on laajasti käytössä ja haavoittuvuus vaikuttaa kaikkiin palvelujen tarjoajiin, joilla on käytössä Java library Log4J (kaikki versiot, jotka ovat versiota 2.15.0 vanhempia). Lue lisää Apachen verkkosivuilta: Apache Log4j 2
 
Tilanteen ollessa alkuvaiheessa, meillä ei ole vielä kattavaa luetteloa Konica Minoltan sovelluksista/tarjoamasta, joihin tämä haavoittuvuus vaikuttaa. Arvioimme parhaillaan, mitä versioita tarjolla olevista sovelluksista tämä koskee, ja jos näitä sovelluksia löytyy, selvitämme parhaillaan, kuinka haavoittuvuus korjataan.

Toistaiseksi voimme kertoa, että olemme tarkistaneet seuraavien ohjelmistojen ja palveluiden tilan ja vahvistaa, että haavoittuvuus ei vaikuta niihin:

Laitteiden osalta tämä ei vaikuta Konica Minoltan omiin monitoimilaitteisiin (MFP), tulostimien osalta arvioimme parhaillaan seuraavia malleja: bizhub 4000i, 5000i, 4020i ja 5020i. Ammattitulostusjärjestelmien EFI Fiery -tulostinohjaimet ja Creo-tulostinohjaimet eivät ole haavoittuvuuden piirissä. Haavoittuvuus ei koske myöskään Bens G4 ja USB-kortinlukijat/todennuslaiteita.
 
Jatkamme vielä niiden ohjelmistojen ja palveluiden tilan arviointia, joita ei ole listattu yllä.
 
Konica Minoltalle laitteidemme, sovelluksiemme ja palveluidemme turvallisuus on erittäin tärkeää, siksi pyrimme ratkaisemaan mahdollisen haavoittuvuuden korkeimmalla prioriteetilla ja nopeudella. Jatkamme päivityksien julkaisua vielä arvioitavana olevien ohjelmistojen/palveluiden osalta mahdollisimman nopeasti.