Vulnerabilidad Log4j2 de Apache (Log4shell)

Problema

Vulnerabilidades recientemente reveladas permiten la ejecución de código de forma remota en productos que utilizan la biblioteca Log4j de Apache

Entorno

Las siguientes versiones o inferiores de productos han sido identificadas como afectadas:

Tableau Server 2021.4, 2021.3.4, 2021.2.5, 2021.1.8, 2020.4.11, 2020.3.14, 2020.2.19, 2020.1.22, 2019.4.25, 2019.3.26, 2019.2.29, 2019.1.29, 2018.3.29
Tableau Desktop 2021.4, 2021.3.4, 2021.2.5, 2021.1.8, 2020.4.11, 2020.3.14, 2020.2.19, 2020.1.22, 2019.4.25, 2019.3.26, 2019.2.29, 2019.1.29, 2018.3.29
Tableau Prep Builder 2021.4.1, 2021.3.2, 2021.2.2, 2021.1.4, 2020.4.1, 2020.3.3, 2020.2.3, 2020.1.5, 2019.4.2, 2019.3.2, 2019.2.3, 2019.1.4, 2018.3.3
Tableau Public Desktop Client 2021.4
Tableau Reader 2021.4
Tableau Bridge 20214.21.1109.1748, 20213.21.1112.1434, 20212.21.0818.1843, 20211.21.0617.1133, 20204.21.0217.1203, 20203.20.0913.2112, 20202.20.0721.1350, 20201.20.0614.2321, 20194.20.0614.2307, 20193.20.0614.2306, 20192.19.0917.1648, 20191.19.0402.1911, 20183.19.0115.1143

Solución

Opción 1: Actualizar Tableau

Si es un cliente con mantenimiento activo y no actualizó desde una versión afectada (cualquier versión de producto anterior al 15 de diciembre de 2021), o bien actualizó a la versión de dicha fecha, actualice a una de las versiones más recientes.

Las versiones del producto Tableau del 15 de diciembre de 2021 actualizaron los archivos de Log4j2 a la versión 2.15. Es posible que aún resten componentes de diagnosis o auxiliares. Hemos mitigado estos componentes restantes con cambios de configuración que desactivan la función de consulta JNDI vulnerable.

Tableau Server 2021.4.1, 2021.3.5, 2021.2.6, 2021.1.9, 2020.4.12
Tableau Desktop 2021.4.1, 2021.3.5 2021.2.6, 2021.1.9, 2020.4.12
Tableau Prep Builder 2021.4.2
Tableau Public Desktop Client 2021.4.1
Tableau Reader 2021.4.1
Tableau Bridge 20214.21.1214.2057

Las versiones del producto Tableau del 19 de diciembre de 2021 integran la versión 2.16 de Log4j, que desactiva la consulta JNDI de forma predeterminada. Esta acción soluciona tanto CVE-2021-44228 como CVE-2021-45046.

Tableau Server 2021.4.2+, 2021.3.6+, 2021.2.7+, 2021.1.10+, 2020.4.13+
Tableau Desktop 2021.4.2+, 2021.3.6+, 2021.2.7+, 2021.1.10+, 2020.4.13+
Tableau Prep Builder 2021.4.4+ (versión de enero de 2018 o versiones posteriores).
Tableau Public Desktop Client 2021.4.2+
Tableau Reader 2021.4.2+
Tableau Bridge 20214.21.1109.1748+

Actualizando las versiones del producto desde el 19 de diciembre de 2021 estará solucionando los problemas de seguridad identificados en estos momentos en CVE-2021-44228 y CVE-2021-45046

Opción 2: Ejecutar los pasos de mitigación detallados en la Opción 2 si:

Actualizó a la versión del producto del 15 de diciembre de 2021 y no puede actualizar a una más reciente (por estar fuera de mantenimiento, fuera del plazo de actualización de una empresa, etc.).
Tiene una versión afectada (cualquier versión de producto publicada antes del 15 de diciembre de 2021) y no puede actualizar a una más reciente.