الـوصـف:

أصدرت HCL تحذيرًا بخصوص ثغرة Apache log4j في المنتج التالي:

• HCL Commerce
  • 7
  • 8
  • 9.0.0.x
  • 9.0.1.x
  • 9.1.x

التهديدات:

يمكن للمهاجم عن بُعد استغلال الثغرة من خلال تنفيذ برمجيات خبيثة.

الإجراءات الوقائية:

يوصي المركز باتباع الإجراءات الوقائية حسب النسخة المتأثرة:

• HCL Commerce v8 with WebSphere v8.5.5 + Java 1.7
  • HCL Commerce 8 ships Log4j v1 jar, -يمكن إزالتها-
    • WC\lib\log4j.jar
      Search\lib\log4j.jar

• HCL Commerce v8 with WebSphere v8.5.5 + Java 1.8
  • HCL Commerce 8 ships Log4j v1 jar, -يمكن إزالتها-
    • WC\lib\log4j.jar
      Search\lib\log4j.jar

• HCL Commerce v9.0.0.0 - v9.0.0.13
  • WebSphere Application Server:
    1. قم بإزالة`systemApps/isclite.ear/kc.war/WEB-INF/lib/log4j*.jar` من ts-app في حالة تأثر لوحة التحكّم. راجع "كيفية إزالة الملفات من صورة Docker" (في الرابط أدناه)
    2. إذا قمت بتكوين سجل WAS Sample UDDI اختياريًا في تطبيق ts ، فقم بتعيين خاصية النظام "‐Dlog4j2.formatMsgNoLookups = true". راجع "كيفية تعيين خاصية النظام" (في الرابط أدناه).

• HCL Commerce v9.0.1.0 - v9.0.1.17
  • WebSphere Application Server:
    1. قم بإزالة`systemApps/isclite.ear/kc.war/WEB-INF/lib/log4j*.jar` من ts-app في حالة تأثر لوحة التحكّم. راجع "كيفية إزالة الملفات من صورة Docker" (في الرابط أدناه)
    2. إذا قمت بتكوين سجل WAS Sample UDDI اختياريًا في تطبيق ts ، فقم بتعيين خاصية النظام "‐Dlog4j2.formatMsgNoLookups = true". راجع "كيفية تعيين خاصية النظام" (في الرابط أدناه).

• HCL Commerce v9.1.0 - 9.1.8 with Solr Search
  • WebSphere Application Server:
    1. قم بإزالة`systemApps/isclite.ear/kc.war/WEB-INF/lib/log4j*.jar` من ts-app في حالة تأثر لوحة التحكّم. راجع "كيفية إزالة الملفات من صورة Docker" (في الرابط أدناه)
    2. إذا قمت بتكوين سجل WAS Sample UDDI اختياريًا في تطبيق ts ، فقم بتعيين خاصية النظام "‐Dlog4j2.formatMsgNoLookups = true". راجع "كيفية تعيين خاصية النظام" (في الرابط أدناه).

• HCL Commerce v9.1.0 - 9.1.6 with Elastic Search
  • لا تتيح قواعد الدخول في حالة استخدام المخططات المقدّمة إلى الوصول الخارجي لتطبيق البحث-nifi-الخاص بك. في حالة فتحت الوصول إلى تطبيق search-nifi ، فستحتاج إما إلى إغلاق هذا الوصول أو الترقية إلى HCL Commerce 9.1.7 أو أعلى.

• خصص صورة الـDocker لـ (search-ingest-app) لإعداد خواص النظام Dlog4j2.formatMsgNoLookups=true. راجع "كيفية تعيين خاصية النظام" (أدناه).

• HCL Commerce v9.1.7 - 9.1.8 with Elastic Search
  • HCL Commerce:
  • خصص صورة الـDocker لكل من (search-ingest-app) و (search-nifi-app) لإعداد خواص النظام Dlog4j2.formatMsgNoLookups=true. راجع "كيفية تعيين خاصية النظام" (أدناه).

• للمزيد من التفاصيل:
• https://support.hcltechsw.com/csm?id=kb_article&sysparm_article=KB0095493