Suivi KEV › Apache

CVE-2021-45046 Apache Log4j2 : vulnérabilité de désérialisation de données non fiables

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 1 mai 2023.

  • Produit : Apache Log4j2
  • Ajoutée au catalogue : 1 mai 2023
  • Échéance CISA : 22 mai 2023
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-917
  • Gravité : CVSS 9,0 (critique)
  • Probabilité d’exploitation (EPSS) : > 99,9 %
  • Technologie : Log4j

Apache Log4j2 contient une vulnérabilité de désérialisation de données non fiables due à la correction incomplète de CVE-2021-44228, où le pattern de recherche de contexte de thread est vulnérable à l'exécution de code à distance dans certaines configurations non par défaut.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · logging.apache.org

Gravité et exploitation

  • Score CVSS 3.1 : 9,0 sur 10, gravité critique CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : > 99,9 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées

Versions concernées

  • log4j : versions ≥ 2.0.1 et < 2.12.2
  • log4j : versions ≥ 2.13.0 et < 2.16.0
  • computer vision annotation tool : toutes versions
  • audio development kit : toutes versions
  • datacenter manager : toutes versions
  • genomics kernel library : toutes versions
  • oneapi : toutes versions
  • secure device onboard : toutes versions

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Injection dans langage d'expression (CWE-917) : Le produit construit tout ou partie d'une instruction de langage d'expression (EL) dans un cadre tel qu'une page serveur Java (JSP) en utilisant une entrée influencée par un composant amont, mais il ne neutralise pas ou neutralise incorrectement les éléments spéciaux qui pourraient modifier l'instruction EL prévue avant son exécution.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Apache Log4j2 Deserialization of Untrusted Data Vulnerability

Apache Log4j2 contains a deserialization of untrusted data vulnerability due to the incomplete fix of CVE-2021-44228, where the Thread Context Lookup Pattern is vulnerable to remote code execution in certain non-default configurations.

Required action: Apply updates per vendor instructions.

Autres failles exploitées de Apache Log4j2

  • CVE-2021-44228 — Apache Log4j2 : vulnérabilité d'exécution de code à distance (10 décembre 2021)

← Toutes les failles Apache · Suivi KEV