Samenvatting
Zoom heeft onze producten en services geanalyseerd om Apache Log4j-kwetsbaarheden te identificeren en te beperken die zijn onthuld in CVE-2021-44228, CVE-2021-45046, CVE-2021-45105 en CVE-2021-44832. Zoom blijft kwetsbare versies van Log4j beperken en patchen in overeenstemming met de aanbevelingen van Apache. We zijn van plan om geïdentificeerde kwetsbare Log4j-instanties bij te werken met de nieuwste beschikbare versies zodra deze beschikbaar zijn en naar behoren zijn getest.
Deze kwetsbaarheden zijn een topprioriteit voor Zoom. We houden de situatie nauwlettend in de gaten en werken er hard aan om zo snel mogelijk voor een oplossing te zorgen. Deze pagina wordt bijgewerkt zodra belangrijke nieuwe informatie beschikbaar komt.
Op basis van onze bevindingen tot nu toe, beschrijven we hieronder de huidige status van Zoom-producten en -diensten.
| Zoom-producten en -diensten | Status |
|---|---|
| Zoom Meetings, Zoom Events, Zoom Webinars, OnZoom | Zoom-clients voor Windows, Mac, Linux, iOS, Android, BlackBerry, VDI (en VDI-plug-in) en webclients gebruiken de kwetsbare versies van Log4j niet. Gebruikers hoeven op dit moment geen actie te ondernemen. |
| De productie-backend van Zoom (met uitzondering van commerciële software van derden)* | De productie-backend van Zoom (met uitzondering van commerciële software van derden) is bijgewerkt naar Log4j versie 2.16.0 als minimumversie of beperkt om de problemen op te lossen die zijn geïdentificeerd in CVE 2021-44228 en CVE-2021-45046. Zoom onderzocht de problemen in CVE-2021-44832 en CVE-2021-45105 en stelde vast dat onze productie-backend niet kwetsbaar is vanwege de voorwaarden die vereist zijn voor exploitatie. |
| De productie-backend van Zoom en commerciële software van derden | We onderzoeken de situatie met onze externe commerciële softwareleveranciers. We hebben updates toegepast en zijn van plan dit te blijven doen zodra deze beschikbaar zijn. De belangrijkste externe softwareleveranciers van Zoom zijn bijgewerkt of beperkt. |
| Zoom voor de overheid | Zoom-clients voor Windows, Mac, Linux, iOS, Android, BlackBerry, VDI (en VDI-plug-in) en webclients gebruiken de kwetsbare versies van Log4j niet. Gebruikers hoeven op dit moment geen actie te ondernemen. |
| Zoom Phone | Zoom Phone-clients gebruiken de kwetsbare versies van Log4j niet. Gebruikers hoeven op dit moment geen actie te ondernemen. |
| Zoom Rooms en Zoom voor thuis | Zoom Rooms en Zoom voor thuis-clients gebruiken de kwetsbare versies van Log4j niet. Gebruikers hoeven op dit moment geen actie te ondernemen. |
| Zoom Chat | Zoom Chat-clients gebruiken de kwetsbare versies van Log4j niet. Gebruikers hoeven op dit moment geen actie te ondernemen. |
| Zoom Marketplace | Voor onze backend hebben we de aanbevolen maatregelen van Apache toegepast en alle geïdentificeerde systemen bijgewerkt naar Log4j versie 2.16.0 als de minimale versie. Gebruikers hoeven op dit moment geen actie te ondernemen. |
| Zoom-ontwikkelaarsplatform-API's en -SDK's | Zoom SDK's gebruiken de kwetsbare versies van Log4j niet. Gebruikers hoeven op dit moment geen actie te ondernemen. |
| Lokale implementatie Zoom | De Zoom Hybrid MMR, VRC, vergaderingsconnector, API Connector en Recording Connector maken geen gebruik van de kwetsbare versies van Log4j. |
| Diensten geleverd door derden | We onderzoeken de situatie met onze derden. |
| Apparaatpartners voor Zoom Phone en Zoom Rooms | Onze apparaatpartners voor Zoom Phone en Zoom Rooms hebben bevestigd dat ze geen impact ondervinden. |
| Zoom Apps | Onze externe Zoom Apps-ontwikkelaars hebben bevestigd dat elke Zoom-app die een kwetsbare versie van Log4j gebruikt, is bijgewerkt of beperkt. |
Opmerking van de redacteur: dit bulletin is bewerkt op 14 januari 2022 met de meest actuele informatie over de reactie van Zoom op de kwetsbaarheden CVE-2021-44228, CVE-2021-45046, CVE-2021-45105 en CVE-2021-44832.