CVE-2022-23302
WysokieStreszczenie
JMSSink we wszystkich wersjach Log4j 1.x jest podatny na deserializację nieufnych danych, gdy atakujący ma dostęp do zapisu w konfiguracji Log4j lub gdy konfiguracja odnosi się do usługi LDAP, do której atakujący ma dostęp. Może to prowadzić do zdalnego wykonania kodu.
Ocena ryzyka
Organizacje mogą być narażone na zdalne wykonanie kodu, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.
Rekomendacja
Zaleca się aktualizację do Log4j 2, aby usunąć tę podatność oraz inne problemy z wcześniejszych wersji.
Inne podatności w Log4j 1.x
Zobacz wszystkie- CVE-2021-4104Wysokie
JMSAppender w Log4j 1.2 jest podatny na deserializację niezaufanych danych, gdy atakujący ma dostęp do zapisu w konfiguracji Log4j. Może to prowadzić do wykonania zdalnego kodu poprzez nieautoryzowane żądania JNDI.
- CVE-2022-23305Krytyczne
JDBCAppender w Log4j 1.2.x akceptuje zapytania SQL jako parametr konfiguracyjny, co pozwala atakującym na manipulację SQL poprzez wprowadzanie spreparowanych ciągów do pól wejściowych lub nagłówków aplikacji. To może prowadzić do niezamierzonych zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
JMSSink in all versions of Log4j 1.x is vulnerable to deserialization of untrusted data when the attacker has write access to the Log4j configuration or if the configuration references an LDAP service the attacker has access to. The attacker can provide a TopicConnectionFactoryBindingName configuration causing JMSSink to perform JNDI requests that result in remote code execution in a similar fashion to CVE-2021-4104. Note this issue only affects Log4j 1.x when specifically configured to use JMSSink, which is not the default. Apache Log4j 1.2 reached end of life in August 2015. Users should upgrade to Log4j 2 as it addresses numerous other issues from the previous versions.