Resumen
New Relic lanzó la versión 3.0.58 de Minion privado en contenedor (llamadas por minuto) el 21 de diciembre de 2021 para abordar las vulnerabilidades críticas CVE-2021-44228, CVE-2021-45046 y CVE-2021-45105 en el framework de código abierto Apache Log4j. . Un actor malintencionado puede ejecutar código arbitrario utilizando mensaje de log o mensaje de log parámetro.
New Relic también lanzó la versión 1.0.46 de Helm Charts el 21 de diciembre de 2021 para abordar estas vulnerabilidades. Helm Charts versión 1.0.46 contiene las llamadas por minuto versión 3.0.58.
New Relic actualizará este Boletín de Seguridad y la orientación de nuestros clientes a medida que haya nueva información disponible.
Vulnerability identifier: NR21-04
Priority: Crítico
Software afectado
Versiones afectadas: todas las versiones de minion privado (llamadas por minuto) en contenedores compatibles antes de la 3.0.58
Versión fija: 3.0.58, también disponible a través de Helm Charts versión 1.0.46
New Relic Containerized minion versión privada (llamadas por minuto) | Versión log4j de apache |
|---|---|
3.0.55 | 2.15.0 |
3.0.57 | 2.16.0 |
3.0.58 | 2.17.0 |
Si utiliza Helm Charts para actualizar su configuración de llamadas por minuto, querrá implementar New Relic Helm Charts versión 1.0.46. Esto actualizará tus llamadas por minuto a la versión 3.0.58.
Elementos de acción
Para corregir CVE 2021-44228, CVE 2021-45046 y CVE 2021-45105 en el minion privado New Relic Containerized, recomendamos a los clientes actualizar a la versión 3.0.58 lo antes posible. Esta versión se ha actualizado para utilizar la versión 2.17.0 corregida del framework Apache Log4j. Puedes actualizar tus llamadas por minuto a través de la versión 1.0.46 de Helm Charts.
Este paso remediará su minion privado en contenedores New Relic (llamadas por minuto) únicamente. Es posible que también necesites actualizar tu agente de Java New Relic . Consulte NR21-03 para obtener más información.
Customers using log4j directly in their applications should carefully review the Apache Log4j Security Vulnerabilities page for remediation details that should be considered.
Información de vulnerabilidades
Se reveló públicamente una vulnerabilidad de alto nivel para el framework log4j el 9 de diciembre de 2021. Un atacante puede ejecutar código arbitrario utilizando mensaje de log o mensaje de log parámetro.
- CVE-2021-44228 CVSS 10.0
- CVE-2021-45046 CVSS 9.0
- CVE-2021-45105 CVSS 7.5
- Guía de seguridad para clientes de New Relic relacionada con las vulnerabilidades de Apache Log4j
- Cómo ayudar a identificar sistemas con versiones vulnerables de log4j usando New Relic
- Apache log4j Vulnerabilidades de seguridad
- Foro de soporte New Relic
Preguntas frecuentes
Historial de publicaciones
22 de diciembre de 2021: NR21-04 Revisión Mayor:
- Nueva versión de corrección 3.0.58 disponible para abordar CVE-2021-44228, CVE-2021-45046 y CVE-2021-45105.
- Adición de Helm Charts versión 1.0.46 que contiene las llamadas por minuto 3.0.58 actualizar.
17 de diciembre de 2021: Revisión NR21-04: Cambio de gravedad y descripción técnica de CVE-2021-45046.
16 de diciembre de 2021: NR21-04 Revisión Mayor:
- Cambio en la orientación sobre la suficiencia de llamadas por minuto 3.0.55 que contiene log4j versión 2.15.0 para proteger contra la explotación de CVE-2021-44228.
- Adición de Helm Charts versión 1.0.45 que contiene las llamadas por minuto 3.0.57 actualizar.
- Actualización de la descripción técnica NIST de CVE-2021-44228.
14 de diciembre de 2021: NR21-04 Revisión Mayor:
- Nueva versión de corrección 3.0.57 lanzado para abordar tanto CVE-2021-44228 como CVE-2021-45046.
- Actualizado para brindar mayor claridad entre las actualizaciones de llamadas por minuto New Relic y las mejores prácticas que los clientes deben seguir para proteger su aplicación.
- Se agregó la sección de preguntas frecuentes.
13 de diciembre de 2021: Publicación NR21-04
Informar vulnerabilidades de seguridad a New Relic
New Relic está comprometido con la seguridad de nuestros clientes y sus datos. Si cree que ha encontrado vulnerabilidades de seguridad en uno de nuestros productos o sitios web, le damos la bienvenida y le agradecemos enormemente que lo informe al programa de divulgación coordinada de New Relic. Para obtener más información, consulte nuestra documentación sobre cómo informar vulnerabilidades de seguridad.