FAQ - Vulnerabilidade - log4j - TOMCAT

02. SITUAÇÃO/REQUISITO

Identificado vulnerabilidade para quem utiliza apache Tomcat. Em uma das lib's utilizadas pelo .war totvs-hgp-webservices existe a lib log4j versão 2.13.x o qual possui vulnerabilidades. Como contorno para segurança existem dois procedimentos para serem adotados conforme situação.

03. SOLUÇÃO

Atualização por patch:

A correção será expedida oficialmente com a atualização dos patches, 12.1.33.5, 12.1.32.11 e 12.1.31.16 com previsão de expedição dia 17/12/2021.

Solução antecipada

Caso ainda não consiga realizar a atualização para os patches citados acima, siga as instruções a seguir.

Clientes que não utilizam o Totvs Saúde Planos:

Para clientes que não utilizam o Totvs Planos, basta abrir a pasta "webapps" localizada dentro dos diretórios do apache tomcat, conforme configuração do servidor, e excluir o arquivo "totvs-hgp-webservices.war", excluir a pasta "totvs-hgp-webservices" e reiniciar o servidor.

Clientes Totvs Saúde Planos:

Para clientes que fazem a gestão de planos de saúde primeiramente você deve realizar o download da versão 2.16.0 do log4j neste link conforme seu sistema operacional e descompactar o arquivo para ter acesso aos jars.

Localize os jars log4j-api-2.16.0.jar e log4j-to-slf4j-2.1.6.0.jar.

Altere as libs dentro do webapps/totvs-hgp-webservices.war na pasta WEB-INF/lib com 7zip:

Apagar versão anterior do log4j:

Adicione a nova versão.

Reinicie o Tomcat, para que realize deploy considerando as novas libs do .war