CVE-2023-26464
Açıklama
** ATANMIŞKEN DESTEKLENMİYOR ** JRE 1.7'den düşük sürümlerde Log4j 1.x ile Chainsaw veya SocketAppender bileşenleri kullanıldığında; özel olarak hazırlanmış (örneğin, derinlemesine iç içe geçmiş) bir hashmap veya hashtable (hangi günlükleme bileşeninin kullanıldığına bağlı olarak) içeren bir günlük girişinin işlenmesini sağlamayı başaran bir saldırgan, nesne serisizleştirildiğinde sanal makinedeki mevcut belleği tüketebilir ve Hizmet Reddi (Denial of Service) gerçekleştirebilir. Bu sorun, 2 sürümünden önceki Apache Log4j sürümlerini etkilemektedir. Etkilenen kullanıcıların Log4j 2.x sürümüne güncellemeleri önerilir. NOT: Bu güvenlik açığı yalnızca artık bakımı yapan kişi tarafından desteklenmeyen ürünleri etkilemektedir.
Nasıl düzeltilir
- apache log4j2.0 ya da sonraki bir sürüm
- org.apache.logging.log4j:log4j-core2.0 ya da sonraki bir sürüm
- log4j:log4j2.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache log4j | 1.0.4 ≤ v < 2.0 | 2.0 |
| org.apache.logging.log4j:log4j-coreMaven | 1.0.4 ≤ v < 2.0 | 2.0 |
| log4j:log4jMaven | 1.0.4 ≤ v < 2.0 | 2.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.