CVE-2022-23302
Təsvir
Log4j 1.x-in bütün versiyalarındakı JMSSink, hücum edən şəxsin Log4j konfiqurasiyasına yazı girişi olduqda və ya konfiqurasiya hücum edənin giriş imkanı olduğu LDAP xidmətinə istinad etdikdə, etibarsız məlumatların deserializasiyasına qarşı həssasdır. Hücum edən şəxs TopicConnectionFactoryBindingName konfiqurasiyasını təmin edərək, JMSSink-in CVE-2021-4104-ə bənzər şəkildə uzaqdan kodun icrasıyla nəticələnən JNDI sorğularını yerinə yetirməsinə səbəb ola bilər. Qeyd edək ki, bu problem Log4j 1.x-ə yalnız xüsusi olaraq JMSSink istifadə etmək üçün konfiqurasiya edildikdə təsir edir və bu standart tənzimləmə deyil. Apache Log4j 1.2-nin dəstəklənmə müddəti 2015-ci ilin avqustunda başa çatmışdır. İstifadəçilər əvvəlki versiyalardakı çoxsaylı digər problemləri aradan qaldırdığı üçün Log4j 2-yə keçid etməlidirlər.
Necə düzəltmək olar
- qos reload4j1.2.18.1 və ya daha yeni versiya
- oracle communications_offline_mediation_controller12.0.0.4.4 və ya daha yeni versiya
- oracle e-business_suite_cloud_manager_and_cloud_backup_module2.2.1.1.1 və ya daha yeni versiya
- oracle hyperion_data_relationship_management11.2.8.0 və ya daha yeni versiya
- oracle hyperion_infrastructure_technology11.2.8.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache log4j | 1.0.1 ≤ v ≤ 1.2.17 | — |
| netapp snapmanager | Aralıq göstərilməyib | — |
| broadcom brocade_sannav | Aralıq göstərilməyib | — |
| qos reload4j | v < 1.2.18.1 | 1.2.18.1 |
| oracle advanced_supply_chain_planning | 12.1, 12.2 | — |
| oracle business_intelligence | 5.9.0.0.0, 12.2.1.3.0, 12.2.1.4.0 | — |
| oracle business_process_management_suite | 12.2.1.3.0, 12.2.1.4.0 | — |
| oracle communications_eagle_ftp_table_base_retrieval | 4.5 | — |
| oracle communications_instant_messaging_server | 10.0.1.5.0 | — |
| oracle communications_messaging_server | 8.1 | — |
| oracle communications_network_integrity | 7.3.6 | — |
| oracle communications_offline_mediation_controller | v < 12.0.0.4.4, 12.0.0.5.0 | 12.0.0.4.4 |
| oracle communications_unified_inventory_management | 7.4.1, 7.4.2 | — |
| oracle e-business_suite_cloud_manager_and_cloud_backup_module | v < 2.2.1.1.1, 2.2.1.1.1 | 2.2.1.1.1 |
| oracle enterprise_manager_base_platform | 13.4.0.0, 13.5.0.0 | — |
| oracle financial_services_revenue_management_and_billing_analytics | 2.7.0.0, 2.7.0.1, 2.8.0.0 | — |
| oracle healthcare_foundation | 8.1.0 | — |
| oracle hyperion_data_relationship_management | v < 11.2.8.0 | 11.2.8.0 |
| oracle hyperion_infrastructure_technology | v < 11.2.8.0 | 11.2.8.0 |
| oracle identity_management_suite | 12.2.1.3.0, 12.2.1.4.0 | — |
| oracle identity_manager_connector | 11.1.1.5.0 | — |
| oracle jdeveloper | 12.2.1.3.0 | — |
| oracle middleware_common_libraries_and_tools | 12.2.1.4.0 | — |
| oracle mysql_enterprise_monitor | v ≤ 8.0.29 | — |
| oracle tuxedo | 12.2.2.0.0 | — |
| oracle weblogic_server | 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0 | — |
| log4j:log4jMaven | v ≤ 1.2.17 | — |
| org.zenframework.z8.dependencies.commons:log4j-1.2.17Maven | v ≤ 2.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.