CVE-2021-44228

Tính năng JNDI của Apache Log4j2 không bảo vệ chống lại các điểm kết nối LDAP và các điểm kết nối JNDI liên quan do kẻ tấn công kiểm soát

Apache Log4j2 từ 2.0-beta9 đến 2.15.0 (trừ các bản phát hành bảo mật 2.12.2, 2.12.3 và 2.3.1) không bảo vệ các tính năng JNDI trong cấu hình, thông điệp log và tham số chống lại các điểm kết nối do kẻ tấn công kiểm soát. Kẻ tấn công có thể kiểm soát thông điệp log hoặc tham số của thông điệp log có thể thực thi mã tùy ý tải từ các máy chủ LDAP khi thay thế tìm kiếm thông điệp được kích hoạt. Từ phiên bản log4j 2.15.0, hành vi này đã bị vô hiệu hóa mặc định. Từ phiên bản 2.16.0 (cùng với 2.12.2, 2.12.3 và 2.3.1), chức năng này đã được loại bỏ hoàn toàn. Lưu ý rằng lỗ hổng này chỉ áp dụng cho log4j-core và không ảnh hưởng đến log4net, log4cxx hoặc các dự án dịch vụ ghi khác của Apache.

Bạn tra cứu quá nhanh — thử lại sau 34 giây.

CVSS (NVD)

10 · CRITICAL

Loại lỗi (CWE)

CWE-20

EPSS (FIRST)

100.00% khả năng bị khai thác trong 30 ngày

CISA KEV

Apache Log4j2 — Lỗ hổng thực thi mã từ xa của Apache Log4j2. Đưa vào 2021-12-10, hạn khắc phục 2021-12-24. Đối với tất cả các tài sản phần mềm bị ảnh hưởng trong đó có bản cập nhật, hành động khắc phục duy nhất chấp nhận được là: 1) Áp dụng bản cập nhật; HOẶC 2) loại bỏ các tài sản bị ảnh hưởng khỏi mạng của cơ quan. Các biện pháp khắc phục tạm thời sử dụng một trong các biện pháp cung cấp tại https://www.cisa.gov/uscert/ed-22-02-apache-log4j-recommended-mitigation-measures chỉ được chấp nhận cho đến khi có bản cập nhật.