Vulnerabilidade do Log4j: As organizações ainda estão em risco?

Este é apenas um exemplo de um CVE destacando os desafios que persistem enquanto as organizações lutam para acompanhar o gerenciamento da correção de CVE, e é um problema que só tende a aumentar. O número de CVEs publicados está aumentando, e a F5 Labs espera que a taxa de publicação de novos CVEs em uma semana típica aumente para 500 por semana até 2025. Já se passaram quase 2 anos desde que a vulnerabilidade do log4j foi exposta, e as organizações ainda estão tentando recuperar o atraso enquanto o problema mais amplo continua a evoluir. Apesar da disponibilidade de patches e atualizações, vários fatores contribuem para vulnerabilidades persistentes como o log4j.

O grande número e a frequência de novas vulnerabilidades fazem com que as organizações tenham dificuldade para se manterem atualizadas (e possivelmente desconhecem) à medida que elas surgem, seja devido a informações ou recursos limitados para se manterem atualizadas sobre novos avisos. Depois que uma vulnerabilidade é identificada, a aplicação de patches em sistemas vulneráveis pode ser complexa, especialmente em grandes organizações com sistemas interconectados, exigindo esforço e coordenação significativos, levando a longos ciclos de aplicação de patches. Isso se torna ainda mais complexo pela mistura de infraestrutura, sistemas e aplicativos legados e modernos que existe na maioria das organizações, o que pode criar problemas de compatibilidade, altos custos ou compromissos de tempo inconvenientes ao tentar implementar atualizações críticas. Além disso, patches e atualizações complicados são dependências indiretas que podem existir em cadeias de fornecimento de software ou componentes de infraestrutura, o que pode ser um ponto cego, mesmo que uma organização não use diretamente o sistema vulnerável. Assim como o próprio código do software, erros humanos e supervisão também podem dificultar os esforços de mitigação, pois desenvolvedores ou administradores podem ignorar a necessidade de aplicar patches ou configurar incorretamente os sistemas. Por fim, organizações com infraestruturas de TI complexas ou culturas avessas a riscos podem sofrer atrasos na adoção de patches devido a testes extensivos, preocupações com interrupções ou prioridades comerciais conflitantes. Somando-se a toda essa complexidade, a maioria das organizações tem falta de pessoal, especialmente na área de segurança. Então, como eles vão conseguir acompanhar enquanto trabalham arduamente para corrigir e atualizar sistemas e aplicativos?