PT-2021-5169 · Apache+8 · Apache Log4J 1.2+11
Chen Zhaojun
·
Publicado
2021-12-10
·
Atualizado
2026-06-09
·
CVE-2021-44228
CVSS v3.1
10
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Apache Log4j2 versões 2.0-beta9 até 2.15.0
Description
A validação insuficiente de entrada nos recursos JNDI do componente
log4j-core permite que um invasor remoto execute código arbitrário. Quando a substituição de busca de mensagens está habilitada, um invasor que possa controlar as mensagens de log ou seus parâmetros pode disparar a execução de código malicioso carregado de servidores LDAP e outros endpoints relacionados ao JNDI. Em certas configurações não padrão, isso também pode ser alcançado controlando os dados de entrada do Thread Context Map (MDC) ao usar um Pattern Layout não padrão com uma Context Lookup (ex: $${ctx:loginId}) ou um padrão de Thread Context Map (%X, %mdc ou %MDC), resultando potencialmente em execução remota de código ou negação de serviço. A exploração no mundo real foi observada em vários ambientes, incluindo servidores de Minecraft e como um vetor de entrada inicial para grupos de ransomware como o Masque para atingir infraestruturas corporativas via serviços como o VMware Horizon.Recommendations
Para as versões 2.0-beta9 até 2.15.0, atualize para a versão 2.16.0 ou posterior.
Como solução temporária para versões anteriores à 2.16.0, remova a classe
JndiLookup do classpath.Exploit
Correção
RCE
DoS
Deserialization of Untrusted Data
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Apache Log4J 1.2
Apache Log4J2
Apache Struts
Astra Linux
Huawei Vrp
Jmsappender
Linuxmint
Apple Macos
Suse
Symantec Endpoint Protection Server
Ubuntu
Vmware Vcenter