CVE-2019-17571
KrytyczneStreszczenie
W klasie SocketServer w Log4j 1.2 występuje podatność na deserializację niezaufanych danych, co może prowadzić do zdalnego wykonania dowolnego kodu. Problem ten dotyczy wersji Log4j od 1.2 do 1.2.17.
Ocena ryzyka
Organizacje mogą być narażone na zdalne ataki, które mogą prowadzić do przejęcia kontroli nad systemami, jeśli nie zaktualizują Log4j do bezpiecznej wersji.
Rekomendacja
Zaleca się aktualizację Log4j do wersji 1.2.18 lub nowszej, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
Included in Log4j 1.2 is a SocketServer class that is vulnerable to deserialization of untrusted data which can be exploited to remotely execute arbitrary code when combined with a deserialization gadget when listening to untrusted network traffic for log data. This affects Log4j versions up to 1.2 up to 1.2.17.