CVE-2021-45046criticalbajo ataqueransomwareCWE-917

CVE-2021-45046: fallo crítico en Apache Log4j

Apache Log4j2 Thread Context Message Pattern and Context Lookup Pattern vulnerable to a denial of service attack

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Apache Log4j+ Monitorear org.apache.logging.log4j:log4j-core

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9epss 100%
de la publicación al arma1 día
Publicada en NVD14 dic
1ª PoC+1d
metasploit9 dic
CISA KEV+503d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
3 productos (4 componentes)
Red Hat OpenStack Platform 13 (Queens) · Red Hat Integration Camel Quarkus 1 · streams for Apache Kafka
workaround: For Log4j versions up to and including 2.15.0, this issue can be mitigated by removing the JndiLookup class from the classpath (example: zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class).
Corregido
20 productos (123 componentes)
Red Hat JBoss Enterprise Application Platform 7.3 EUS for RHEL 7 Server · Red Hat JBoss Enterprise Application Platform 7.1 EUS for RHEL 7 Server · Red Hat OpenShift Container Platform 4.6 · OpenShift Logging 5.0 · OpenShift Logging 5.1 · y otros 15
corrección ↗
No afectado
24 productos (2365 componentes) — porque el código vulnerable no está presente en el producto
Red Hat JBoss Enterprise Application Platform · Red Hat JBoss EAP 7.4 for RHEL 7 Server · Red Hat JBoss EAP 7.4 for RHEL 8 · OpenShift Logging 5.2 · OpenShift Logging 5.3 · y otros 19
Acción exigida por CISAplazo federal: 2023-05-22

Apply updates per vendor instructions.

En resumen

Apache Log4j2 versión 2.15.0 tiene un parche incompleto que permite a atacantes explotar datos del Contexto de Thread en configuraciones no predeterminadas para filtrar información o ejecutar código malicioso. Esto afecta sistemas que utilizan patrones de registro específicos que no fueron adecuadamente asegurados en el parche inicial.

Detalle técnico

CVE-2021-45046 es una continuación de CVE-2021-44228 afectando Log4j 2.15.0 cuando Pattern Layouts no predeterminados incluyen Context Lookup o patrones de Thread Context Map (por ejemplo, ${ctx:*} o %X). Atacantes con control sobre datos de MDC pueden inyectar patrones JNDI Lookup para lograr ejecución remota de código (RCE) en ciertos entornos o ejecución local de código universalmente. La vulnerabilidad requiere configuración de registro con componentes de patrón específicos y se mitiga en Log4j 2.16.0+ y 2.12.2+ al deshabilitar JNDI por defecto y eliminar soporte para message lookup.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

It was found that the fix to address CVE-2021-44228 in Apache Log4j 2.15.0 was incomplete in certain non-default configurations. This could allows attackers with control over Thread Context Map (MDC) input data when the logging configuration uses a non-default Pattern Layout with either a Context Lookup (for example, $${ctx:loginId}) or a Thread Context Map pattern (%X, %mdc, or %MDC) to craft malicious input data using a JNDI Lookup pattern resulting in an information leak and remote code execution in some environments and local code execution in all environments. Log4j 2.16.0 (Java 8) and 2.12.2 (Java 7) fix this issue by removing support for message lookup patterns and disabling JNDI functionality by default.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
Productos afectados
Apache Software Foundation · Apache Log4j
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Apache Log4j

En el mismo producto, de las más peligrosas a las menos.

CVE-2017-5645—CVE-2017-5645EPSS 89.4%CVE-2023-26464HIGHApache Log4j 1.x (EOL) allows DoS in Chainsaw and SocketAppenderEPSS 1.9%