Sikkerhedsoplysninger / 2021 / Sikkerhedsoplysninger -- DSA-5022-1 apache-log4j2

Debians sikkerhedsbulletin

DSA-5022-1 apache-log4j2 -- sikkerhedsopdatering

Rapporteret den:

16. dec 2021

Berørte pakker:

apache-log4j2

Sårbar:

Ja

Referencer i sikkerhedsdatabaser:

I Debians fejlsporingssystem: Fejl 1001729.
I Mitres CVE-ordbog: CVE-2021-45046.

Yderligere oplysninger:

Man opdagede at rettelsen til løsning af CVE-2021-44228 i Apache Log4j, et Logging Framework for Java, var ufuldstændig i visse ikke-standard-opsætninger. Dermed kunne angribere med kontrol over Thread Context Map-inddata (MDC), når logningsopsætningen anvender et ikke-standard-Pattern Layout med enten en Context Lookup (for eksempel, $${ctx:loginId}) eller et Thread Context Map-mønster (%X, %mdc, eller %MDC) til at fabrikere ondsindede inddata ved hjælp af et JNDI Lookup-mønster, medførende et lammelsesangreb (DOS).

I den gamle stabile distribution (buster), er dette problem rettet i version 2.16.0-1~deb10u1.

I den stabile distribution (bullseye), er dette problem rettet i version 2.16.0-1~deb11u1.

Vi anbefaler at du opgraderer dine apache-log4j2-pakker.

For detaljeret sikkerhedsstatus vedrørende apache-log4j2, se dens sikkerhedssporingsside på: https://security-tracker.debian.org/tracker/apache-log4j2