PT-2021-5169
CVE-2021-44228
·
تاريخ النشر
2021-12-10
·
تاريخ التحديث
2026-11-04
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Apache Log4j2 الإصدارات من 2.0-beta9 إلى 2.15.0
Description
يؤدي عدم كفاية التحقق من صحة المدخلات في ميزات JNDI الخاصة بحزمة
log4j-core إلى السماح للمهاجم عن بُعد بتنفيذ رمز عشوائي. تحدث هذه المشكلة عندما يكون استبدال البحث عن الرسائل مفعلاً، مما يسمح للمهاجمين بالتحكم في رسائل السجل أو المعلمات لإرسال طلبات إلى نقاط نهاية LDAP خبيثة ونقاط نهاية أخرى متعلقة بـ JNDI. في بعض التكوينات غير الافتراضية، يمكن للمهاجمين أيضاً استخدام Thread Context Map (MDC) لصياغة بيانات إدخال خبيثة عبر Context Lookup (على سبيل المثال ${ctx:loginId}) أو نمط Thread Context Map (%X أو %mdc أو %MDC)، مما قد يؤدي إلى تنفيذ رمز عن بُعد أو حجب الخدمة. تم رصد استغلال لهذه الثغرة في هجمات واقعية من قبل مجموعات برامج الفدية، مثل مجموعة Masque، التي تستخدم هذا الخلل للوصول الأولي إلى الخوادم كنقطة انطلاق لهجمات إضافية.Recommendations
بالنسبة للإصدارات من 2.0-beta9 إلى 2.15.0، يجب التحديث إلى الإصدار 2.16.0 أو أحدث.
كإجراء تخفيف مؤقت للإصدارات السابقة لـ 2.16.0، قم بإزالة فئة
JndiLookup من الـ classpath.
قيد استخدام حزمة log4j-core لضمان تحديثها إلى إصدار آمن.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾