PT-2020-3311 · Apache+1 · Apache Log4J+1
Publicado
2020-04-13
·
Atualizado
2022-05-12
·
CVE-2020-9488
CVSS v2.0
4.3
Média
| Vetor | AV:N/AC:M/Au:N/C:P/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do Apache Log4j anteriores à 2.12.3
Versões do Apache Log4j anteriores à 2.13.1
Versões do Apache Log4j anteriores à 2.13.2
Descrição
O problema está relacionado à validação inadequada de certificados com incompatibilidade de host no appender SMTP do Apache Log4j. Isso poderia permitir que uma conexão SMTPS fosse interceptada por um ataque man-in-the-middle, potencialmente vazando mensagens de log enviadas através do appender.
Recomendações
Para versões do Apache Log4j anteriores à 2.12.3, atualize para a versão 2.12.3 ou posterior.
Para versões do Apache Log4j anteriores à 2.13.1, atualize para a versão 2.13.1 ou posterior.
Para versões do Apache Log4j anteriores à 2.13.2, atualize para a versão 2.13.2 ou posterior.
Como solução alternativa temporária, considere desativar o appender SMTP até que um patch esteja disponível.
Restrinja o acesso ao appender SMTP para minimizar o risco de exploração.
Correção
Improper Certificate Validation
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Apache Log4J
Astra Linux