Atualização de segurança da Bentley de dezembro de 2021

16 de dezembro de 2021

 

Uma atualização sobre a vulnerabilidade do Apache Log4j de nosso diretor de segurança da informação

 

Além de monitoramento de invasões, nossas equipes de segurança têm analisado cada um de nossos produtos para garantir que não tenham sido comprometidos. Se identificarmos quaisquer violações em nossos produtos e/ou sistemas, notificaremos os usuários afetados imediatamente.

 

Revisamos nosso portfólio de produtos como uma atualização do colocado. Esta revisão descobriu que três serviços eram vulneráveis ​​aos CVEs relacionados ao log4j, que foram mitigados com sucesso em nossos ambientes de produção. Continuamos sem ver nenhuma evidência de exploração.

 

Os serviços afetados foram:

 

  • ProjectWise Project Insight
  • ProjectWise Portfolio Insight
  • OpenCities Planner

Conforme mencionado acima, as vulnerabilidades nesses serviços foram mitigadas e não há evidências de exploração. Nenhuma ação é necessária por nenhum usuário desses serviços hospedados pela Bentley.

 

Além disso, até o momento confirmamos que nenhum produto desktop ou servidor Bentley instalado (localmente) exige a execução de quaisquer ações relacionadas à mitigação desses CVEs por parte dos usuários. Continuaremos monitorando esta situação e forneceremos atualizações relevantes conforme necessário.

 

Tom cibelli

Chief Information Security Officer

Bentley Systems

----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

Atualização anterior – 14 de Dezembro de 2021

 

Em 9 de dezembro de 2021, um exploit “Zero Day” foi relatado na biblioteca de registro Java “log4j”, uma vulnerabilidade foi relatada na biblioteca de registro Java “log4j”, o que indica que a biblioteca pode ser suscetível a ataques maliciosos do tipo “Remote Code Execution” (RCE – Execução de código remoto).

 

Assim que a Bentley foi notificada, nossos especialistas em segurança iniciaram uma investigação para determinar se esse ataque afetou nossos sistemas, produtos e / ou serviços. Temos o prazer de informar que, no momento, a Bentley não encontrou nenhuma evidência de que nossos sistemas foram comprometidos por este ataque ou de que ocorreu uma intrusão.

 

A Bentley administra profundas práticas de defesa em todos os nossos sistemas e serviços usando tecnologias que são construídas para detectar e mitigar exploit “Zero Day” incluindo “Endpoint Detection and Response” (EDR – Ponto final de detecção e resposta), heurística e software antivírus baseado em assinatura, bem como uma continua monitoração de sua rede. Essas práticas aplicadas para garantir que nossos usuários possam continuar trabalhando em sua capacidade total durante uma tentativa de ataque cibernético e com o conhecimento de que seu trabalho estará protegido.

 

Além de monitorar a invasão, nossas equipes de segurança têm analisado cada um de nossos produtos para garantir que não tenham sido comprometidos. Caso identifiquemos quaisquer violações em nossos produtos e sistemas, notificaremos os usuários afetados imediatamente.

 

A equipe de segurança da informação da Bentley continuará ativamente monitorando e respondendo a esta situação em desenvolvimento como faria com quaisquer outras questões de segurança. Os usuários são incentivados a monitorar nosso Programa de exposição à vulnerabilidade comum para atualizações contínuas.

 

Como usuário da Bentley, você pode ter certeza de que proteger seus dados é nossa maior prioridade

 

Tom Cibelli

 

Chief Information Security Officer

Bentley Systems

Recommended
Related