针对 Apache Log4j 披露的 Zoom 安全公告
上次更新时间：2022 年 1 月 14 日下午 3:55（太平洋标准时间）
摘要
Zoom 一直在分析我们的产品和服务，以识别和缓解在 CVE-2021-44228、CVE-2021-45046、CVE-021-45105 和 CVE2021-44832 中披露的 Apache Log4j 漏洞。 Zoom 继续根据 Apache 的建议缓解和修补易受攻击的 Log4j 版本。 在推出并测试最新的可用版本后，我们计划使用其更新已确认的易受攻击 Log4j 实例。
解决这些漏洞是 Zoom 的首要任务。 我们密切关注形势发展，并努力以最快速度解决问题。 在提供重要信息后，此页面将进行更新。
根据我们迄今为止的调查结果，我们在下面概述了 Zoom 产品和服务的现状。
Zoom 产品和服务
状态
Zoom Meetings、Zoom Events、Zoom Webinars、OnZoom
适用于 Windows、Mac、Linux、iOS、Android、BlackBerry、VDI（和 VDI 插件）的 Zoom Client 以及 Web Client 不使用易受攻击的 Log4j 版本。
用户当前不需要执行任何操作。
Zoom 的生产后端（不包括第三方商业软件）*
Zoom 的生产后端（不包括第三方商业软件）已更新至 Log4j 版本 2.16.0 作为最低版本或已得到缓解，可解决 CVE 2021-44228 和 CVE-2021-45046 中已识别的问题。 考虑到漏洞利用所需的条件，在对 CVE-2021-44832 和 CVE-2021-45105 中的问题进行评估之后，Zoom 确定我们的生产后端不容易受到攻击。
Zoom 的生产后端第三方商业软件
我们正与第三方商业软件供应商合作对形势进行评估。 我们已经应用并计划继续应用任何可用的更新。
Zoom 的核心第三方软件供应商已更新或已得到缓解。
Zoom 政府解决方案
适用于 Windows、Mac、Linux、iOS、Android、BlackBerry、VDI（和 VDI 插件）的 Zoom Client 以及 Web Client 不使用易受攻击的 Log4j 版本。
用户当前不需要执行任何操作。
Zoom Phone
Zoom Phone 客户端不使用易受攻击的 Log4j 版本。
用户当前不需要执行任何操作。
Zoom Room 和 Zoom for Home
Zoom Rooms 和 Zoom for Home 客户端不使用易受攻击的 Log4j 版本。
用户当前不需要执行任何操作。
Zoom Team Chat
Zoom Team Chat 客户端不使用易受攻击的 Log4j 版本。
用户当前不需要执行任何操作。
Zoom Marketplace
对于我们的后端，我们应用了 Apache 建议的缓解措施，并将迄今为止确定的任何系统更新至 Log4j 版本 2.16.0 作为最低版本。 用户当前不需要执行任何操作。
Zoom 开发人员平台 API 和 SDK
Zoom SDK 不使用易受攻击的 Log4j 版本。
用户当前不需要执行任何操作。
Zoom 本地部署
Zoom Hybrid MMR、VRC、会议连接器、API 连接器和录制连接器不使用易受攻击的 Log4j 版本。
第三方提供的服务
我们正与第三方合作对形势进行评估。
Zoom Phone 和 Zoom Rooms 的设备合作伙伴
我们的 Zoom Phone 和 Zoom Rooms 设备合作伙伴已确认，他们不受影响。
Zoom Apps
我们的第三方 Zoom Apps 开发人员已确认，任何使用易受攻击的 Log4j 版本的 Zoom Apps 都已更新或已得到缓解。
编注：本公告于 2022 年 1 月 14 日编辑，包含有关 Zoom 对 CVE-2021-44228、CVE-2021-45046、CVE-2021-45105 和 CVE-2021-44832 漏洞的响应的最新信息。