CVE-2019-17571criticalCWE-502

CVE-2019-17571: fallo crítico en Apache Software Foundation Log4j

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Apache Log4j+ Monitorear apache-log4j1.2

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

62Vexday Risk Score

Haz seguimiento. Ella tiene prueba de concepto pública.

ssvc Attendcvss 9.8epss 70%
de la publicación al arma5 días
Publicada en NVD20 dic
1ª PoC+5d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
3 productos
Red Hat Enterprise Linux 5 · Red Hat JBoss BRMS 5 · Red Hat JBoss SOA Platform 5
workaround: Please note that the Log4j upstream strongly recommends against using the SerializedLayout with the SocketAppenders. Customers may mitigate this issue by removing the SocketServer class outright…
Corregido
27 productos (119 componentes)
Red Hat JBoss Web Server 3.1 for RHEL 6 · Red Hat JBoss Web Server 3.1 for RHEL 7 · Red Hat Enterprise Linux Server Optional (v. 6 ELS) · Red Hat Enterprise Linux Server (v. 6 ELS) · Red Hat JBoss Enterprise Application Platform 6.4 for RHEL 6 Server · y otros 22
corrección ↗
No afectado
19 productos (32 componentes) — porque el código vulnerable no está presente en el producto
Red Hat Software Collections · Red Hat Enterprise Linux 8 · Red Hat Fuse 7 · Red Hat Mobile Application Platform 4 · Red Hat OpenShift Application Runtimes · y otros 14
Included in Log4j 1.2 is a SocketServer class that is vulnerable to deserialization of untrusted data which can be exploited to remotely execute arbitrary code when combined with a deserialization gadget when listening to untrusted network traffic for log data. This affects Log4j versions up to 1.2 up to 1.2.17.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Apache Software Foundation · Log4j
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.