Ci-dessous, les informations transmises à nos équipes par le service support de Centreon, et mises à jour le 16/12/2021 à 18h00.
Nous avons mené une étude des impacts sur nos produits, de la vulnérabilité CVE-2021-44228, qui touche la dépendance log4j-core. Seules les applications qui utilisent log4j-core (version >2.0.0 et < 2.15.0) et incluent les entrées des utilisateurs dans leurs journaux sont vulnérables.
Il en résulte que :
- Centreon MBI n’est pas impacté par cette CVE. La librairie est dans la version 1.x et nous n’utilisons, ni n’avons configuré le composant « JMS Appender ».
- Le module AS-400 n’est pas impacté par cette CVE. La librairie est dans la version 1.x et nous n’utilisons, ni n’avons configuré le composant « JMS Appender ».
Sur Centreon MAP, nous utilisons Spring Boot et log4j2. La librairie vulnérable log4j-core n’est pas utilisée. Par acquis de conscience, nous allons mettre à jour la dépendance log4j2 à la dernière version disponible. >>> Une mise à jour de Centreon MAP est disponible et embarque la dépendance dans sa version 2.16.0
Ref : https://spring.io/blog/2021/12/10/log4j2-vulnerability-and-spring-boot
Ci-dessus, les informations transmises à nos équipes par le service support de Centreon, mises à jour le 16/12/2021 à 18h00.