CVE-2019-17571criticalCWE-502

CVE-2019-17571: falha crítica em Apache Software Foundation Log4j

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Apache Log4j+ Monitorar apache-log4j1.2

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

62Vexday Risk Score

Acompanhe. Ela tem prova de conceito pública.

ssvc Attendcvss 9.8epss 70%
da publicação à arma5 dias
Publicada no NVD20 de dez.
1ª PoC+5d
O que os fabricantes declaram (VEX)

Declarações oficiais dos fabricantes em formato CSAF/VEX: se o produto deles está afetado, já corrigido ou descartado — e por quê. É afirmação do fabricante, não juízo do Vexday.

Red Hatdocumento VEX ↗
Afetado
3 produtos
Red Hat Enterprise Linux 5 · Red Hat JBoss BRMS 5 · Red Hat JBoss SOA Platform 5
workaround: Please note that the Log4j upstream strongly recommends against using the SerializedLayout with the SocketAppenders. Customers may mitigate this issue by removing the SocketServer class outright…
Corrigido
27 produtos (119 componentes)
Red Hat JBoss Web Server 3.1 for RHEL 6 · Red Hat JBoss Web Server 3.1 for RHEL 7 · Red Hat Enterprise Linux Server Optional (v. 6 ELS) · Red Hat Enterprise Linux Server (v. 6 ELS) · Red Hat JBoss Enterprise Application Platform 6.4 for RHEL 6 Server · e outros 22
correção ↗
Não afetado
19 produtos (32 componentes) — porque o código vulnerável não está presente no produto
Red Hat Software Collections · Red Hat Enterprise Linux 8 · Red Hat Fuse 7 · Red Hat Mobile Application Platform 4 · Red Hat OpenShift Application Runtimes · e outros 14
Included in Log4j 1.2 is a SocketServer class that is vulnerable to deserialization of untrusted data which can be exploited to remotely execute arbitrary code when combined with a deserialization gadget when listening to untrusted network traffic for log data. This affects Log4j versions up to 1.2 up to 1.2.17.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
Apache Software Foundation · Log4j
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.