CVE-2018-1285
Kritik
Açıklama
Apache log4net 2.0.10 öncesi sürümler, log4net yapılandırma dosyalarını ayrıştırırken XML dış varlıklarını devre dışı bırakmamaktadır. Bu durum, saldırgan tarafından kontrol edilen log4net yapılandırma dosyalarını kabul eden uygulamalarda XXE tabanlı saldırılara olanak tanır.
ÖnemKritik
CVSS9.8
İstismar olasılığı—
Ürün
Apache Log4net
Yayın11 May 2020
İlk görülme11 May 2020
Nasıl düzeltilir
Güncelleyin
- apache log4net2.0.10 ya da sonraki bir sürüm
- log4net2.0.10 ya da sonraki bir sürüm
Üretici duyuruları
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/M2U233HVAQDSZ2PRG4XSGDASLY3J6ALH/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/VKL2LPINAI6BCMXOH4V4HVHGLUXIWOFO/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/VT2DNNSW7C7FNK3MA3SLEUHGW5USYZKE/
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache log4net | v < 2.0.10 | 2.0.10 |
| fedoraproject fedora | 30, 31, 32 | — |
| oracle application_testing_suite | 13.3.0.1 | — |
| oracle hospitality_opera_5 | 5.5, 5.6 | — |
| oracle hospitality_simphony | 18.2.7.2, 19.1.3 | — |
| netapp manageability_software_development_kit | Aralık belirtilmemiş | — |
| netapp snapcenter | Aralık belirtilmemiş | — |
| log4netNuGet | v < 2.0.10 | 2.0.10 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.