CVE-2022-23302
Açıklama
Log4j 1.x'in tüm sürümlerindeki JMSSink, saldırganın Log4j yapılandırmasına yazma erişimi olduğunda veya yapılandırma saldırganın erişebildiği bir LDAP servisine referans verdiğinde güvenilmeyen verilerin deserialization işlemine karşı savunmasızdır. Saldırgan, JMSSink'in CVE-2021-4104 ile benzer şekilde uzaktan kod çalıştırma ile sonuçlanan JNDI istekleri gerçekleştirmesine neden olan bir TopicConnectionConnectionFactoryBindingName yapılandırması sağlayabilir. Bu sorunun, Log4j 1.x'i yalnızca varsayılan olmayan JMSSink kullanacak şekilde özel olarak yapılandırıldığında etkilediğine dikkat edin. Apache Log4j 1.2'nin ömrü Ağustos 2015'te sona ermiştir. Önceki sürümlerdeki diğer birçok sorunu giderdiği için kullanıcıların Log4j 2'ye yükseltme yapması önerilir.
Nasıl düzeltilir
- qos reload4j1.2.18.1 ya da sonraki bir sürüm
- oracle communications_offline_mediation_controller12.0.0.4.4 ya da sonraki bir sürüm
- oracle e-business_suite_cloud_manager_and_cloud_backup_module2.2.1.1.1 ya da sonraki bir sürüm
- oracle hyperion_data_relationship_management11.2.8.0 ya da sonraki bir sürüm
- oracle hyperion_infrastructure_technology11.2.8.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache log4j | 1.0.1 ≤ v ≤ 1.2.17 | — |
| netapp snapmanager | Aralık belirtilmemiş | — |
| broadcom brocade_sannav | Aralık belirtilmemiş | — |
| qos reload4j | v < 1.2.18.1 | 1.2.18.1 |
| oracle advanced_supply_chain_planning | 12.1, 12.2 | — |
| oracle business_intelligence | 5.9.0.0.0, 12.2.1.3.0, 12.2.1.4.0 | — |
| oracle business_process_management_suite | 12.2.1.3.0, 12.2.1.4.0 | — |
| oracle communications_eagle_ftp_table_base_retrieval | 4.5 | — |
| oracle communications_instant_messaging_server | 10.0.1.5.0 | — |
| oracle communications_messaging_server | 8.1 | — |
| oracle communications_network_integrity | 7.3.6 | — |
| oracle communications_offline_mediation_controller | v < 12.0.0.4.4, 12.0.0.5.0 | 12.0.0.4.4 |
| oracle communications_unified_inventory_management | 7.4.1, 7.4.2 | — |
| oracle e-business_suite_cloud_manager_and_cloud_backup_module | v < 2.2.1.1.1, 2.2.1.1.1 | 2.2.1.1.1 |
| oracle enterprise_manager_base_platform | 13.4.0.0, 13.5.0.0 | — |
| oracle financial_services_revenue_management_and_billing_analytics | 2.7.0.0, 2.7.0.1, 2.8.0.0 | — |
| oracle healthcare_foundation | 8.1.0 | — |
| oracle hyperion_data_relationship_management | v < 11.2.8.0 | 11.2.8.0 |
| oracle hyperion_infrastructure_technology | v < 11.2.8.0 | 11.2.8.0 |
| oracle identity_management_suite | 12.2.1.3.0, 12.2.1.4.0 | — |
| oracle identity_manager_connector | 11.1.1.5.0 | — |
| oracle jdeveloper | 12.2.1.3.0 | — |
| oracle middleware_common_libraries_and_tools | 12.2.1.4.0 | — |
| oracle mysql_enterprise_monitor | v ≤ 8.0.29 | — |
| oracle tuxedo | 12.2.2.0.0 | — |
| oracle weblogic_server | 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0 | — |
| log4j:log4jMaven | v ≤ 1.2.17 | — |
| org.zenframework.z8.dependencies.commons:log4j-1.2.17Maven | v ≤ 2.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.