CVE-2022-23302highCWE-502

CVE-2022-23302: fallo de gravedad alta en Apache Log4j 1.x

Deserialization of untrusted data in JMSSink in Apache Log4j 1.x

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Apache Log4j+ Monitorear apache-log4j1.2

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

33Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 8.8epss 64%
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
6 productos (9 componentes)
Red Hat OpenShift Container Platform 4 · Red Hat OpenStack Platform 13 (Queens) · A-MQ Clients 2 · Red Hat AMQ Broker 7 · Red Hat JBoss Fuse Service Works 6 · y otros 1
workaround: These are the possible mitigations for this flaw for releases version 1.x: - Comment out or remove JMSSink in the Log4j configuration if it is used - Remove the JMSSink class from the server's jar files…
Corregido
54 productos (513 componentes)
Red Hat JBoss Enterprise Application Platform 6.4 for RHEL 6 Server · Red Hat JBoss Enterprise Application Platform 6.4 for RHEL 7 Server · Red Hat JBoss Web Server 3.1 for RHEL 7 · RHEL-8-RHEV-S-4.4 - Red Hat Virtualization Engine 4.4 · Red Hat Enterprise Linux AppStream (v. 8) · y otros 49
corrección ↗
No afectado
16 productos (2269 componentes) — porque el código vulnerable no está presente en el producto
Red Hat JBoss Enterprise Application Platform · Red Hat JBoss EAP 7.4 for RHEL 7 Server · Red Hat JBoss EAP 7.4 for RHEL 8 · Red Hat JBoss Enterprise Application Platform 7.1 EUS for RHEL 7 Server · Red Hat Enterprise Linux 7 · y otros 11
JMSSink in all versions of Log4j 1.x is vulnerable to deserialization of untrusted data when the attacker has write access to the Log4j configuration or if the configuration references an LDAP service the attacker has access to. The attacker can provide a TopicConnectionFactoryBindingName configuration causing JMSSink to perform JNDI requests that result in remote code execution in a similar fashion to CVE-2021-4104. Note this issue only affects Log4j 1.x when specifically configured to use JMSSink, which is not the default. Apache Log4j 1.2 reached end of life in August 2015. Users should upgrade to Log4j 2 as it addresses numerous other issues from the previous versions.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Apache Software Foundation · Apache Log4j 1.x
CVEs relacionadas — Apache Log4j 1.x

En el mismo producto, de las más peligrosas a las menos.

CVE-2021-4104HIGHDeserialization of untrusted data in JMSAppender in Apache Log4j 1.2EPSS 80.6%CVE-2022-23305CRITICALSQL injection in JDBC Appender in Apache Log4j V1EPSS 66.5%CVE-2022-23307HIGHA deserialization flaw in the Chainsaw component of Log4j 1 can lead to malicious code execution.EPSS 54.4%