Improper validation of certificate with host mismatch in Apache Log4j SMTP appender.

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.

• apache log4j2.4 ve sonrası · 2.12.3 öncesi
• apache log4j2.13.0 ve sonrası · 2.13.2 öncesi
• apache log4j2.0 ve sonrası · 2.3.2 öncesi
• debian debian linux10.0
• debian debian linux11.0
• debian debian linux9.0
• oracle communications application session controller3.9m0p1
• oracle communications billing and revenue management12.0.0.3.0
• oracle communications billing and revenue management7.5.0.23.0
• oracle communications eagle ftp table base retrieval4.5
• oracle communications offline mediation controller12.0.0.3.0
• oracle communications services gatekeeper7.0
• oracle communications unified inventory management7.3.0
• oracle communications unified inventory management7.4.0
• oracle data integrator12.2.1.3.0
• oracle data integrator12.2.1.4.0
• oracle enterprise manager for peoplesoft13.4.1.1
• oracle financial services analytical applications infrastructure8.0.6.0.0 ve sonrası · 8.1.0.0.0 dahil
• oracle financial services institutional performance analytics8.0.6
• oracle financial services institutional performance analytics8.1.0

Üreticinin bildirdiği sürümler

Kaydı açan otorite (apache) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

• Apache Apache Log4j

  • log4j-core 2.13.0etkilenir
  • log4j-core ve sonrası · 2.12.3 öncesietkilenir

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2021-44228Apache Log4j2 JNDI features do not protect against attacker controlled LDAP and other JNDI related endpointsKEV
  100Hemen
• CVE-2021-45046Apache Log4j2 Thread Context Message Pattern and Context Lookup Pattern vulnerable to a denial of service attackKEV
  96Hemen
• CVE-2017-5645In Apache Log4j 2.x before 2.8.2, when using the TCP socket server or UDP socket server to receive serialized log events from another applic
  66Bu hafta
• CVE-2019-17571Included in Log4j 1.2 is a SocketServer class that is vulnerable to deserialization of untrusted data which can be exploited to remotely exe
  60Bu hafta
• CVE-2022-23305SQL injection in JDBC Appender in Apache Log4j V1
  59Planlayın
• CVE-2021-44832Apache Log4j2 vulnerable to RCE via JDBC Appender when attacker controls configuration
  55Planlayın

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

Sertifika doğrulama hatası, bağlantıyı kesmek yerine sessizce yutuluyor. Çoğu zaman test ortamı için eklenen kod üretime taşınır.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1override fun checkServerTrusted(chain: Array<X509Certificate>, type: String) {2  // Test ortamı için boş bırakıldı3}

1val client = OkHttpClient.Builder()2  .certificatePinner(3    CertificatePinner.Builder()4      .add("api.sirius.example", "sha256/…")5      .build()6  ).build()

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.