Podatności Apache Log4j
3 znanych podatności CVE w Apache Log4j, przetłumaczonych i ocenionych.
- CVE-2021-45046KrytyczneAktywnie exploitowane
Poprawka dla CVE-2021-44228 w Apache Log4j 2.15.0 była niekompletna w niektórych konfiguracjach nie domyślnych. Atakujący kontrolujący dane wejściowe Thread Context Map (MDC) przy użyciu nie domyślnego Pattern Layout z Context Lookup (np. $${ctx:loginId}) lub wzorcem Thread Context Map (%X, %mdc, %MDC) może wstrzyknąć złośliwe dane z wzorcem JNDI Lookup, co prowadzi do wycieku informacji i zdalnego wykonania kodu w niektórych środowiskach oraz lokalnego wykonania kodu we wszystkich środowiskach.
- CVE-2017-5645Krytyczne
W Apache Log4j 2.x przed wersją 2.8.2, używając serwera gniazd TCP lub UDP do odbierania zdarzeń logowania, można wysłać specjalnie przygotowany ładunek binarny, który po deserializacji może wykonać dowolny kod.
- CVE-2026-34481Wysokie
Apache Log4j JsonTemplateLayout do wersji 2.25.3 generuje nieprawidłowy JSON, gdy zdarzenia logowania zawierają nie-skończone wartości zmiennoprzecinkowe (NaN, Infinity, -Infinity), co jest niezgodne z RFC 8259. Atakujący może to wykorzystać, jeśli aplikacja używa JsonTemplateLayout i loguje MapMessage lub obiekt z kontrolowaną wartością zmiennoprzecinkową.