CVE-2022-23305
Açıklama
Tasarımı gereği, Log4j 1.2.x içindeki JDBCAppender, eklenecek değerlerin PatternLayout'tan dönüştürücüler olduğu bir SQL ifadesini yapılandırma parametresi olarak kabul eder. Mesaj dönüştürücüsü %m'nin her zaman dahil edilmesi muhtemeldir. Bu, saldırganların, günlüğe kaydedilen bir uygulamanın giriş alanlarına veya başlıklarına hazırlanmış dizeler girerek SQL'i manipüle etmesine ve istenmeyen SQL sorgularının yürütülmesine olanak tanır. Bu sorunun yalnızca özellikle JDBCAppender kullanacak şekilde yapılandırıldığında Log4j 1.x'i etkilediğini unutmayın; bu varsayılan değildir. 2.0-beta8 sürümünden itibaren JDBCAppender, parametreli SQL sorguları için uygun destek ve günlüklere yazılan sütunlar üzerinde daha fazla özelleştirme ile yeniden sunuldu. Apache Log4j 1.2, Ağustos 2015'te kullanım ömrünün sonuna ulaştı. Kullanıcılar, önceki sürümlerdeki çok sayıda başka sorunu da ele aldığı için Log4j 2'ye yükseltme yapmalıdır.
Nasıl düzeltilir
- qos reload4j1.2.18.2 ya da sonraki bir sürüm
- oracle communications_offline_mediation_controller12.0.0.4.4 ya da sonraki bir sürüm
- oracle e-business_suite_cloud_manager_and_cloud_backup_module2.2.1.1.1 ya da sonraki bir sürüm
- oracle hyperion_data_relationship_management11.2.8.0 ya da sonraki bir sürüm
- oracle hyperion_infrastructure_technology11.2.8.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache log4j | 1.2 ≤ v ≤ 1.2.17 | — |
| netapp snapmanager | Aralık belirtilmemiş | — |
| broadcom brocade_sannav | Aralık belirtilmemiş | — |
| qos reload4j | v < 1.2.18.2 | 1.2.18.2 |
| oracle advanced_supply_chain_planning | 12.1, 12.2 | — |
| oracle business_intelligence | 5.9.0.0.0, 12.2.1.3.0, 12.2.1.4.0 | — |
| oracle business_process_management_suite | 12.2.1.3.0, 12.2.1.4.0 | — |
| oracle communications_eagle_ftp_table_base_retrieval | 4.5 | — |
| oracle communications_instant_messaging_server | 10.0.1.5.0 | — |
| oracle communications_messaging_server | 8.1 | — |
| oracle communications_network_integrity | 7.3.6 | — |
| oracle communications_offline_mediation_controller | v < 12.0.0.4.4, 12.0.0.5.0 | 12.0.0.4.4 |
| oracle communications_unified_inventory_management | 7.4.1, 7.4.2 | — |
| oracle e-business_suite_cloud_manager_and_cloud_backup_module | v < 2.2.1.1.1, 2.2.1.1.1 | 2.2.1.1.1 |
| oracle e-business_suite_information_discovery | 12.2.3 ≤ v ≤ 12.2.11 | — |
| oracle enterprise_manager_base_platform | 13.4.0.0, 13.5.0.0 | — |
| oracle financial_services_revenue_management_and_billing_analytics | 2.7.0.0, 2.7.0.1, 2.8.0.0 | — |
| oracle healthcare_foundation | 8.1.0 | — |
| oracle hyperion_data_relationship_management | v < 11.2.8.0 | 11.2.8.0 |
| oracle hyperion_infrastructure_technology | v < 11.2.8.0 | 11.2.8.0 |
| oracle identity_management_suite | 12.2.1.3.0, 12.2.1.4.0 | — |
| oracle identity_manager_connector | 11.1.1.5.0 | — |
| oracle jdeveloper | 12.2.1.3.0 | — |
| oracle middleware_common_libraries_and_tools | 12.2.1.4.0 | — |
| oracle mysql_enterprise_monitor | v ≤ 8.0.29 | — |
| oracle retail_extract_transform_and_load | 13.2.5 | — |
| oracle tuxedo | 12.2.2.0.0 | — |
| oracle weblogic_server | 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0 | — |
| log4j:log4jMaven | v ≤ 1.2.17 | — |
| org.zenframework.z8.dependencies.commons:log4j-1.2.17Maven | v ≤ 2.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.