CVE-2021-4104
WysokieStreszczenie
JMSAppender w Log4j 1.2 jest podatny na deserializację niezaufanych danych, gdy atakujący ma dostęp do zapisu w konfiguracji Log4j. Może to prowadzić do wykonania zdalnego kodu poprzez nieautoryzowane żądania JNDI.
Ocena ryzyka
Organizacja narażona jest na poważne ryzyko związane z wykonaniem złośliwego kodu, co może prowadzić do utraty danych lub przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację do Log4j 2, aby usunąć tę i inne znane podatności, ponieważ Log4j 1.2 nie jest już wspierany od sierpnia 2015 roku.
Inne podatności w Log4j 1.2
Zobacz wszystkie- CVE-2022-23302Wysokie
JMSSink we wszystkich wersjach Log4j 1.x jest podatny na deserializację nieufnych danych, gdy atakujący ma dostęp do zapisu w konfiguracji Log4j lub gdy konfiguracja odnosi się do usługi LDAP, do której atakujący ma dostęp. Może to prowadzić do zdalnego wykonania kodu.
- CVE-2022-23305Krytyczne
JDBCAppender w Log4j 1.2.x akceptuje zapytania SQL jako parametr konfiguracyjny, co pozwala atakującym na manipulację SQL poprzez wprowadzanie spreparowanych ciągów do pól wejściowych lub nagłówków aplikacji. To może prowadzić do niezamierzonych zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
JMSAppender in Log4j 1.2 is vulnerable to deserialization of untrusted data when the attacker has write access to the Log4j configuration. The attacker can provide TopicBindingName and TopicConnectionFactoryBindingName configurations causing JMSAppender to perform JNDI requests that result in remote code execution in a similar fashion to CVE-2021-44228. Note this issue only affects Log4j 1.2 when specifically configured to use JMSAppender, which is not the default. Apache Log4j 1.2 reached end of life in August 2015. Users should upgrade to Log4j 2 as it addresses numerous other issues from the previous versions.