Aktywnie wykorzystywana w atakach
Apache Log4j2 Deserialization of Untrusted Data Vulnerability
Apache - Log4j2 · Figuruje w katalogu CISA KEV od 2023-05-01. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2021-45046
KrytyczneCVSS 9.0KEVStreszczenie
Poprawka dla CVE-2021-44228 w Apache Log4j 2.15.0 była niekompletna w niektórych konfiguracjach nie domyślnych. Atakujący kontrolujący dane wejściowe Thread Context Map (MDC) przy użyciu nie domyślnego Pattern Layout z Context Lookup (np. $${ctx:loginId}) lub wzorcem Thread Context Map (%X, %mdc, %MDC) może wstrzyknąć złośliwe dane z wzorcem JNDI Lookup, co prowadzi do wycieku informacji i zdalnego wykonania kodu w niektórych środowiskach oraz lokalnego wykonania kodu we wszystkich środowiskach.
Ocena ryzyka
Możliwe zdalne wykonanie kodu na serwerze aplikacji, co może skutkować pełnym przejęciem systemu, kradzieżą danych lub instalacją złośliwego oprogramowania. Luka dotyczy środowisk używających Log4j 2.15.0 w konfiguracjach nie domyślnych.
Rekomendacja
Zaktualizuj Log4j do wersji 2.16.0 (Java 8) lub 2.12.2 (Java 7), które usuwają obsługę wzorców wyszukiwania wiadomości i domyślnie wyłączają funkcjonalność JNDI. Jeśli aktualizacja nie jest możliwa, zastosuj obejścia zalecane przez producenta.
Inne podatności w Apache Log4j
Zobacz wszystkie- CVE-2017-5645Krytyczne
W Apache Log4j 2.x przed wersją 2.8.2, używając serwera gniazd TCP lub UDP do odbierania zdarzeń logowania, można wysłać specjalnie przygotowany ładunek binarny, który po deserializacji może wykonać dowolny kod.
- CVE-2026-34481Wysokie
Apache Log4j JsonTemplateLayout do wersji 2.25.3 generuje nieprawidłowy JSON, gdy zdarzenia logowania zawierają nie-skończone wartości zmiennoprzecinkowe (NaN, Infinity, -Infinity), co jest niezgodne z RFC 8259. Atakujący może to wykorzystać, jeśli aplikacja używa JsonTemplateLayout i loguje MapMessage lub obiekt z kontrolowaną wartością zmiennoprzecinkową.
Oryginalny opis (angielski, źródło NVD)
It was found that the fix to address CVE-2021-44228 in Apache Log4j 2.15.0 was incomplete in certain non-default configurations. This could allows attackers with control over Thread Context Map (MDC) input data when the logging configuration uses a non-default Pattern Layout with either a Context Lookup (for example, $${ctx:loginId}) or a Thread Context Map pattern (%X, %mdc, or %MDC) to craft malicious input data using a JNDI Lookup pattern resulting in an information leak and remote code execution in some environments and local code execution in all environments. Log4j 2.16.0 (Java 8) and 2.12.2 (Java 7) fix this issue by removing support for message lookup patterns and disabling JNDI functionality by default.