CVE-2021-44228: fallo crítico en Apache Log4j2
Apache Log4j2 JNDI features do not protect against attacker controlled LDAP and other JNDI related endpoints
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Corrige ahora. Ella está bajo explotación confirmada por CISA, tiene exploit funcional público y 4 grupo(s) de amenaza la utilizan.
Grupos conocidos por explotar esta vulnerabilidad (atribución MITRE ATT&CK).
Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.
For all affected software assets for which updates exist, the only acceptable remediation actions are: 1) Apply updates; OR 2) remove affected assets from agency networks. Temporary mitigations using one of the measures provided at https://www.cisa.gov/uscert/ed-22-02-apache-log4j-recommended-mitigation-measures are only acceptable until updates are available.
Apache Log4j2 permite que atacantes ejecuten código malicioso inyectando comandos en mensajes de registro. Si una aplicación usa una versión vulnerable de Log4j2 e registra datos controlados por el usuario, un atacante puede provocar la ejecución de código desde servidores remotos.
CVE-2021-44228 explota búsquedas JNDI (Java Naming and Directory Interface) inseguras en Log4j2 versiones 2.0-beta9 hasta 2.15.0 cuando la sustitución de lookup de mensajes está habilitada. Un atacante que controla el contenido de mensajes de registro puede inyectar expresiones JNDI que cargan y ejecutan código arbitrario desde endpoints LDAP o RMI controlados por el atacante. Requiere que la aplicación registre datos influenciados por el atacante sin sanitización.
El análisis completo de esta CVE está disponible en portugués →
En el mismo producto, de las más peligrosas a las menos.