Podatności Log4j 1.2
3 znanych podatności CVE w Log4j 1.2, przetłumaczonych i ocenionych.
- CVE-2022-23302Wysokie
JMSSink we wszystkich wersjach Log4j 1.x jest podatny na deserializację nieufnych danych, gdy atakujący ma dostęp do zapisu w konfiguracji Log4j lub gdy konfiguracja odnosi się do usługi LDAP, do której atakujący ma dostęp. Może to prowadzić do zdalnego wykonania kodu.
- CVE-2021-4104Wysokie
JMSAppender w Log4j 1.2 jest podatny na deserializację niezaufanych danych, gdy atakujący ma dostęp do zapisu w konfiguracji Log4j. Może to prowadzić do wykonania zdalnego kodu poprzez nieautoryzowane żądania JNDI.
- CVE-2022-23305Krytyczne
JDBCAppender w Log4j 1.2.x akceptuje zapytania SQL jako parametr konfiguracyjny, co pozwala atakującym na manipulację SQL poprzez wprowadzanie spreparowanych ciągów do pól wejściowych lub nagłówków aplikacji. To może prowadzić do niezamierzonych zapytań SQL.