podatnosc.pl
ZakresObserwowane · cały katalog
WszystkieObserwowaneEdytuj profil →
← Wróć do przeglądu
Pilne działanie

Wykorzystanie funkcji JNDI w Apache Log4j2 pozwala na zdalne wykonanie kodu przez atakującego.

CVE-2021-44228

Producent w źródle: cisco

Sieć i dostęp · Publikacja: 10.12.2021, 10:15 UTC

Pilne działanie — dlaczego?

Potwierdzone wykorzystanie · CISA KEV

Zweryfikuj dopasowanie i zalecenia w pierwszej kolejności. Rekomendacja dotyczy rekordu w źródłach; nie potwierdza podatności Twojego zasobu.

Co to oznacza?

Wykorzystanie funkcji JNDI w Apache Log4j2 pozwala na zdalne wykonanie kodu przez atakującego.

Automatyczne streszczenie · zweryfikuj opis źródłowy poniżej.

Czy może mnie dotyczyć?

Sprawdź producenta, dokładny produkt, wersję i konfigurację w oficjalnym opisie. Dopasowanie kategorii lub producenta jest orientacyjne.

Inne podatności producenta cisco →

Co sprawdzić i zrobić?

  1. Potwierdź, czy używasz produktu i dotkniętej wersji.
  2. Sprawdź aktualne advisory, poprawkę i ewentualne środki ograniczające ryzyko u producenta.
  3. Jeśli podatność Cię dotyczy, zaplanuj zmianę i weryfikację zgodnie z procedurą organizacji.
Zalecenia producenta ↗
Dane techniczne i opis źródłowy
CVSS 3.1
10,0 · [email protected]
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
EPSS
100 % · model z 2026-10-09
Polityka rekomendacji
action-2026-10-p1
Przechowywanie
Bieżący rekord

Opis NVD

Apache Log4j2 2.0-beta9 through 2.15.0 (excluding security releases 2.12.2, 2.12.3, and 2.3.1) JNDI features used in configuration, log messages, and parameters do not protect against attacker controlled LDAP and other JNDI related endpoints. An attacker who can control log messages or log message parameters can execute arbitrary code loaded from LDAP servers when message lookup substitution is enabled. From log4j 2.15.0, this behavior has been disabled by default. From version 2.16.0 (along with 2.12.2, 2.12.3, and 2.3.1), this functionality has been completely removed. Note that this vulnerability is specific to log4j-core and does not affect log4net, log4cxx, or other Apache Logging Services projects.

EPSS opisuje prognozowane prawdopodobieństwo zaobserwowania wykorzystania w ciągu kolejnych 30 dni. Nie jest prawdopodobieństwem włamania do Twojego urządzenia.

exploit

Referencje źródłowe

Więcej możliwości