Questa dichiarazione riguarda le preoccupazioni relative a ePO e la vulnerabilità log4j documentata in CVE-2021-44832.

Mitre CVE-2021-44832

CVE-2021-44832
Apache versioni 2.0 di Log4j2-beta7 through 2.17.0 (escluse le release 2.3.2 di Security Fix e 2.12.4 ) sono vulnerabili a un attacco di esecuzione remota di codice (RCE, Remote Code Execution) dove un aggressore con l'autorizzazione per modificare il file di configurazione della registrazione può costruire una configurazione maliziosa utilizzando un appender JDBC con un'origine dati che fa riferimento a un URI JNDI che può eseguire codice remoto. Questo problema è stato risolto limitando JNDI.

Ricerca e conclusioni
Nessuna versione di ePO implementa l'aggiunta di JDBC. Pertanto, ePO non è vulnerabile a CVE-2021-44832. Ma, incrementiamo la nostra libreria log4j alla versione 2.17.1 o successiva in un aggiornamento futuro.