Katalog CVE
CVE-2017-5645
KrytyczneStreszczenie
W Apache Log4j 2.x przed wersją 2.8.2, używając serwera gniazd TCP lub UDP do odbierania zdarzeń logowania, można wysłać specjalnie przygotowany ładunek binarny, który po deserializacji może wykonać dowolny kod.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa aplikacji i danych organizacji.
Rekomendacja
Zaleca się aktualizację Apache Log4j do wersji 2.8.2 lub nowszej, aby zniwelować tę podatność.
Oryginalny opis (angielski, źródło NVD)
In Apache Log4j 2.x before 2.8.2, when using the TCP socket server or UDP socket server to receive serialized log events from another application, a specially crafted binary payload can be sent that, when deserialized, can execute arbitrary code.