CVE-2021-44832
ŚrednieStreszczenie
Wersje Apache Log4j2 od 2.0-beta7 do 2.17.0 (z wyłączeniem poprawek bezpieczeństwa 2.3.2 i 2.12.4) są podatne na atak zdalnego wykonania kodu (RCE) przy użyciu konfiguracji z JDBC Appender i źródłem danych JNDI LDAP, gdy atakujący ma kontrolę nad docelowym serwerem LDAP. Problem został rozwiązany poprzez ograniczenie nazw źródeł danych JNDI do protokołu java w wersjach Log4j2 2.17.1, 2.12.4 i 2.3.2.
Ocena ryzyka
Organizacje korzystające z podatnych wersji Log4j2 mogą być narażone na zdalne wykonanie kodu, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych. Atakujący mogą wykorzystać tę podatność do przejęcia kontroli nad systemami.
Rekomendacja
Zaleca się aktualizację do wersji Log4j2 2.17.1, 2.12.4 lub 2.3.2, aby usunąć tę podatność. Należy również przeanalizować konfiguracje używające JDBC Appender i JNDI LDAP w celu zapewnienia bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
Apache Log4j2 versions 2.0-beta7 through 2.17.0 (excluding security fix releases 2.3.2 and 2.12.4) are vulnerable to a remote code execution (RCE) attack when a configuration uses a JDBC Appender with a JNDI LDAP data source URI when an attacker has control of the target LDAP server. This issue is fixed by limiting JNDI data source names to the java protocol in Log4j2 versions 2.17.1, 2.12.4, and 2.3.2.