Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2022-00031

Опубликовано: 10 дек. 2021
Источник: fstec
CVSS3: 6.6
CVSS2: 7.6
EPSS Высокий

Описание

Уязвимость реализации класса JMSAppender библиотеки журналирования Java-программ Log4j связана с восстановлением в памяти недостоверных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально созданных JNDI-запросов

Вендор

Red Hat Inc.
Apache Software Foundation
IBM Corp.
АО "НППКТ"
АО «Концерн ВНИИНС»

Наименование ПО

Red Hat Enterprise Linux
Jboss Fuse
Red Hat Software Collections
JBoss Enterprise Application Platform
JBoss Data Grid
OpenShift Application Runtimes
Red Hat Single Sign-On
JBoss A-MQ
Jboss Fuse Service Works
JBoss A-MQ Streaming
Jboss Web Server
Red Hat JBoss Data Virtualization
Jboss Operations Network
OpenShift Container Platform
Log4j
CodeReady Studio
Red Hat Integration Camel K
Red Hat Integration Camel Quarkus
IBM Spectrum Discover
ОСОН ОСнова Оnyx
ОС ОН «Стрелец»

Версия ПО

6 (Red Hat Enterprise Linux)
7 (Red Hat Enterprise Linux)
8 (Red Hat Enterprise Linux)
7 (Jboss Fuse)
- (Red Hat Software Collections)
7 (JBoss Enterprise Application Platform)
7 (JBoss Data Grid)
- (OpenShift Application Runtimes)
7 (Red Hat Single Sign-On)
6.0 (JBoss A-MQ)
6.0 (Jboss Fuse Service Works)
- (JBoss A-MQ Streaming)
3 (Jboss Web Server)
6 (Red Hat JBoss Data Virtualization)
3.0 (Jboss Operations Network)
4 (OpenShift Container Platform)
1.2 (Log4j)
6 (Jboss Fuse)
6 (JBoss Enterprise Application Platform)
7 (JBoss A-MQ)
12 (CodeReady Studio)
- (Red Hat Integration Camel K)
- (Red Hat Integration Camel Quarkus)
4.8 (OpenShift Container Platform)
до 2.0.4.5 (IBM Spectrum Discover)
до 2.4.3 (ОСОН ОСнова Оnyx)
до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система
Прикладное ПО информационных систем
Сетевое программное средство

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 6
Red Hat Inc. Red Hat Enterprise Linux 7
Red Hat Inc. Red Hat Enterprise Linux 8
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,6)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для библиотеки Log4j:
https://github.com/apache/logging-log4j2/pull/608#issuecomment-990494126
Для продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2021-4104
Для программных продуктов IBM Corp.:
https://www.ibm.com/support/pages/node/6568675
Для ОСОН Основа:
Обновление программного обеспечения apache-log4j1.2 до версии 1.2.17+repack-8+deb10u2.osnova1
Для ОС ОН «Стрелец»:
Обновление программного обеспечения apache-log4j1.2 до версии 1.2.17-7+deb9u2

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 99%
0.72952
Высокий

6.6 Medium

CVSS3

7.6 High

CVSS2

Связанные уязвимости

CVSS3: 7.5
ubuntu
больше 3 лет назад

JMSAppender in Log4j 1.2 is vulnerable to deserialization of untrusted data when the attacker has write access to the Log4j configuration. The attacker can provide TopicBindingName and TopicConnectionFactoryBindingName configurations causing JMSAppender to perform JNDI requests that result in remote code execution in a similar fashion to CVE-2021-44228. Note this issue only affects Log4j 1.2 when specifically configured to use JMSAppender, which is not the default. Apache Log4j 1.2 reached end of life in August 2015. Users should upgrade to Log4j 2 as it addresses numerous other issues from the previous versions.

CVSS3: 7.5
redhat
больше 3 лет назад

JMSAppender in Log4j 1.2 is vulnerable to deserialization of untrusted data when the attacker has write access to the Log4j configuration. The attacker can provide TopicBindingName and TopicConnectionFactoryBindingName configurations causing JMSAppender to perform JNDI requests that result in remote code execution in a similar fashion to CVE-2021-44228. Note this issue only affects Log4j 1.2 when specifically configured to use JMSAppender, which is not the default. Apache Log4j 1.2 reached end of life in August 2015. Users should upgrade to Log4j 2 as it addresses numerous other issues from the previous versions.

CVSS3: 7.5
nvd
больше 3 лет назад

JMSAppender in Log4j 1.2 is vulnerable to deserialization of untrusted data when the attacker has write access to the Log4j configuration. The attacker can provide TopicBindingName and TopicConnectionFactoryBindingName configurations causing JMSAppender to perform JNDI requests that result in remote code execution in a similar fashion to CVE-2021-44228. Note this issue only affects Log4j 1.2 when specifically configured to use JMSAppender, which is not the default. Apache Log4j 1.2 reached end of life in August 2015. Users should upgrade to Log4j 2 as it addresses numerous other issues from the previous versions.

CVSS3: 7.5
debian
больше 3 лет назад

JMSAppender in Log4j 1.2 is vulnerable to deserialization of untrusted ...

suse-cvrf
больше 3 лет назад

Security update for log4j12

EPSS

Процентиль: 99%
0.72952
Высокий

6.6 Medium

CVSS3

7.6 High

CVSS2