CVE-2021-45046
Açıklama
Apache Log4j 2.15.0 sürümünde CVE-2021-44228'i gidermek için yapılan düzeltmenin belirli varsayılan olmayan yapılandırmalarda eksik olduğu tespit edilmiştir. Günlükleme yapılandırması; bir Context Lookup (örneğin, $${ctx:loginId}) veya bir Thread Context Map deseni (%X, %mdc veya %MDC) içeren varsayılan olmayan bir Pattern Layout kullandığında, Thread Context Map (MDC) giriş verileri üzerinde kontrol sahibi olan saldırganların, bir JNDI Lookup deseni kullanarak kötü amaçlı giriş verileri oluşturmasına izin verebilir; bu durum bazı ortamlarda bilgi sızıntısına ve uzaktan kod çalıştırmaya, tüm ortamlarda ise yerel kod çalıştırmaya yol açabilir. Log4j 2.16.0 (Java 8) ve 2.12.2 (Java 7), mesaj arama desenleri desteğini kaldırarak ve JNDI işlevselliğini varsayılan olarak devre dışı bırakarak bu sorunu gidermektedir.
Nasıl düzeltilir
Üreticinin yayımladığı güncellemeleri uygulayın.
CISA son tarihi: 22 May 2023- apache log4j2.12.2, 2.16.0 ya da sonraki bir sürüm
- siemens captial2019.1 ya da sonraki bir sürüm
- siemens e-car_operation_center2021-12-13 ya da sonraki bir sürüm
- siemens gma-manager8.6.2j-398 ya da sonraki bir sürüm
- siemens industrial_edge_management_hub2021-12-13 ya da sonraki bir sürüm
- siemens mindsphere2021-12-11 ya da sonraki bir sürüm
- siemens navigator2021-12-13 ya da sonraki bir sürüm
- siemens solid_edge_harness_design2020 ya da sonraki bir sürüm
- siemens spectrum_power_44.70 ya da sonraki bir sürüm
- siemens spectrum_power_72.30 ya da sonraki bir sürüm
- siemens vesys2019.1 ya da sonraki bir sürüm
- sonicwall email_security10.0.12 ya da sonraki bir sürüm
- tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-apache-log4j-qRuKNEbd
- debian.org/security/2021/dsa-5022
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/EOKPQGV24RRBBI4TBZUDQMM4MEH7MXCY/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/SIG7FZULMNK2XF6FZRU4VWYDQXNMUGAJ/
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache log4j | 2.0.1 ≤ v < 2.12.2, 2.13.0 ≤ v < 2.16.0, 2.0 | 2.12.2, 2.16.0 |
| cvat computer_vision_annotation_tool | Aralık belirtilmemiş | — |
| intel audio_development_kit | Aralık belirtilmemiş | — |
| intel datacenter_manager | Aralık belirtilmemiş | — |
| intel genomics_kernel_library | Aralık belirtilmemiş | — |
| intel oneapi | Aralık belirtilmemiş | — |
| intel secure_device_onboard | Aralık belirtilmemiş | — |
| intel sensor_solution_firmware_development_kit | Aralık belirtilmemiş | — |
| intel system_debugger | Aralık belirtilmemiş | — |
| intel system_studio | Aralık belirtilmemiş | — |
| siemens sppa-t3000_ses3000_firmware | Aralık belirtilmemiş | — |
| siemens captial | v < 2019.1, 2019.1 | 2019.1 |
| siemens comos | Aralık belirtilmemiş | — |
| siemens desigo_cc_advanced_reports | 4.0, 4.1, 4.2, 5.0, 5.1 | — |
| siemens desigo_cc_info_center | 5.0, 5.1 | — |
| siemens e-car_operation_center | v < 2021-12-13 | 2021-12-13 |
| siemens energy_engage | 3.1 | — |
| siemens energyip | 8.5, 8.6, 8.7, 9.0 | — |
| siemens energyip_prepay | 3.7, 3.8 | — |
| siemens gma-manager | v < 8.6.2j-398 | 8.6.2j-398 |
| siemens head-end_system_universal_device_integration_system | Aralık belirtilmemiş | — |
| siemens industrial_edge_management | Aralık belirtilmemiş | — |
| siemens industrial_edge_management_hub | v < 2021-12-13 | 2021-12-13 |
| siemens logo\!_soft_comfort | Aralık belirtilmemiş | — |
| siemens mendix | Aralık belirtilmemiş | — |
| siemens mindsphere | v < 2021-12-11 | 2021-12-11 |
| siemens navigator | v < 2021-12-13 | 2021-12-13 |
| siemens nx | Aralık belirtilmemiş | — |
| siemens opcenter_intelligence | v ≤ 3.2 | — |
| siemens operation_scheduler | v ≤ 1.1.3 | — |
| siemens sentron_powermanager | 4.1, 4.2 | — |
| siemens siguard_dsa | 4.2, 4.3, 4.4 | — |
| siemens sipass_integrated | 2.80, 2.85 | — |
| siemens siveillance_command | v ≤ 4.16.2.1 | — |
| siemens siveillance_control_pro | Aralık belirtilmemiş | — |
| siemens siveillance_identity | 1.5, 1.6 | — |
| siemens siveillance_vantage | Aralık belirtilmemiş | — |
| siemens siveillance_viewpoint | Aralık belirtilmemiş | — |
| siemens solid_edge_cam_pro | Aralık belirtilmemiş | — |
| siemens solid_edge_harness_design | v < 2020, 2020 | 2020 |
| siemens spectrum_power_4 | v < 4.70, 4.70 | 4.70 |
| siemens spectrum_power_7 | v < 2.30, 2.30 | 2.30 |
| siemens teamcenter | Aralık belirtilmemiş | — |
| siemens tracealertserverplus | Aralık belirtilmemiş | — |
| siemens vesys | v < 2019.1, 2019.1 | 2019.1 |
| siemens xpedition_enterprise | Aralık belirtilmemiş | — |
| siemens xpedition_package_integrator | Aralık belirtilmemiş | — |
| debian debian_linux | 10.0, 11.0 | — |
| sonicwall email_security | v < 10.0.12 | 10.0.12 |
| fedoraproject fedora | 34, 35 | — |
| siemens 6bk1602-0aa12-0tp0_firmware | v < 2.7.0 | 2.7.0 |
| siemens 6bk1602-0aa22-0tp0_firmware | v < 2.7.0 | 2.7.0 |
| siemens 6bk1602-0aa32-0tp0_firmware | v < 2.7.0 | 2.7.0 |
| siemens 6bk1602-0aa42-0tp0_firmware | v < 2.7.0 | 2.7.0 |
| siemens 6bk1602-0aa52-0tp0_firmware | v < 2.7.0 | 2.7.0 |
| org.apache.logging.log4j:log4j-coreMaven | 2.13.0 ≤ v < 2.16.0, 2.4.0 ≤ v < 2.12.2, v < 2.3.1 | 2.16.0, 2.12.2, 2.3.1 |
| org.ops4j.pax.logging:pax-logging-log4j2Maven | 1.8.0 ≤ v < 1.9.2, 1.10.0 ≤ v < 1.10.8, 1.11.0 ≤ v < 1.11.11, 2.0.0 ≤ v < 2.0.12 | 1.9.2, 1.10.8, 1.11.11, 2.0.12 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.