log4j-log4shell-affected

Elenchi dei componenti interessati e delle app/vendor interessate da CVE-2021-44228 (noto anche come Log4shell o Log4j RCE) per i team di risposta alla sicurezza.

Riteniamo che sia importante classificare vendor e prodotti tra:

1. Rischio interno - cosa patchare per primo per rimuovere il rischio internamente
2. Rischio esterno - tutti i vendor di terze/quarte parti che hanno in custodia i tuoi dati e che potrebbero essere stati compromessi, che dovrai monitorare e affrontare una volta completate le patch

Ecco gli elenchi:

Rischio Esterno - App Interessate

cioè tutti i vendor di cui dovresti preoccuparti se hai dati nel loro ambiente o se hanno accesso al tuo ambiente

Rischio Interno - Componenti Interessati

cioè componenti software che potresti aver usato nella creazione dei tuoi prodotti e che dovrebbero farti preoccupare se ti rendono vulnerabile

Altre risorse utili

Elenchi

Artifacts che usano log4j

App compromesse con conferma

Elenco delle risposte di vari vendor, alcuni interessati e altri no

Elenco ufficiale gestito da CISA - Governo USA

Elenco ufficiale gestito da NCSC - Governo dei Paesi Bassi, alta frequenza di aggiornamento

Guide su come rispondere

Una guida rapida e semplice su cosa fare per rispondere all'incidente log4j

Guida generale alla risposta agli incidenti nel caso scopri che un tuo vendor di terze parti è stato compromesso

Come contribuire

Siamo lieti di ricevere contributi dalla community. Linee guida per i contributi:

• Si prega di fare una PR modificando i file CSV grezzi.
• Assicurati di includere una fonte di riferimento per ogni riga aggiunta (le affermazioni senza un link validato come fonte non saranno accettate)

A proposito di questa repo

Questa repo è mantenuta per semplificare la risposta per aziende e organizzazioni, separando tra:

1. Rischio interno - Componenti software che devi cercare e patchare nei tuoi prodotti / nell'ambiente interno
2. Rischio esterno - Vendor/app di terze e quarte parti che potrebbero essere stati interessati e che dovresti monitorare se i tuoi dati sono nella loro custodia

Questo elenco è un progetto community aperto al contributo di tutti ed è curato da:

La nostra descrizione preferita della situazione