De laatste kwetsbaarheid in Log4j is meer hype dan inhoud, zo stelt securitybedrijf LunaSec. De onderzoeker die het beveiligingslek ontdekte heeft inmiddels excuses gemaakt voor de manier waarop hij de kwetsbaarheid aankondigde.

Op 28 december publiceerde onderzoeker Yaniv Nizry van securitybedrijf Checkmarx een tweet waarin hij liet weten dat de meest recente versie van Log4j een kwetsbaarheid bevatte waardoor remote code execution mogelijk was en de Apache Foundation met een update zou komen. Het beveiligingslek, aangeduid als CVE-2021-44832, laat een aanvaller alleen op afstand code uitvoeren wanneer die toegang tot het Log4j-configuratiebestand heeft.

Een "onwaarschijnlijk scenario", stelt Chris Thompson van LunaSec. Al bij de bekendmaking van de details reageerden onderzoekers kritisch op het beveiligingslek. In een blogposting waarin Checkmarx de details beschreef stelde het securitybedrijf eerst dat het om een kritieke kwetsbaarheid ging, waarbij het beveiligingslek met een eerder kritiek Log4j-lek werd vergeleken.

Volgens Thompson is CVE-2021-44832 zo onbeduidend dat LunaSec heeft besloten om de eigen Log4j-scantool er niet naar te laten zoeken. "We hopen dat de focus blijft op het verhelpen van de meer kritieke kwetsbaarheden in eerdere versies." Checkmarx heeft inmiddels de blogposting aangepast, maar volgens Thompson wordt door het waarschuwen voor een nieuwe remote code execution kwetsbaarheid zonder verdere context te geven misbruik gemaakt van de angst en verwarring die mensen rond het Log4j-lek hebben.

Thompson stelt dat het oproepen van ontwikkelaars om te updaten alleen voor het updaten naar de laatste versie niet de oplossing is en kan leiden tot een scenario waarbij er steeds ten onrechte alarm wordt geslagen, wat het vertrouwen niet ten goede komt en uiteindelijk tot kwetsbare services en systemen kan leiden.