Apache Log4j2 JNDI arama özelliğinde uzaktan kod çalıştırma açığı (Log4Shell)

ÖzetTürkçe

Apache Log4j2 (log4j-core) 2.0-beta9 ile 2.15.0 arasındaki sürümlerde (2.12.2, 2.12.3 ve 2.3.1 güvenlik sürümleri hariç) JNDI özellikleri, saldırganın kontrol ettiği LDAP ve diğer JNDI uç noktalarına karşı koruma sağlamaz. Günlük mesajlarını veya mesaj parametrelerini kontrol edebilen bir saldırgan, mesaj arama değişimi (message lookup substitution) etkinken LDAP sunucularından yüklenen rastgele kodu çalıştırabilir. Açık yalnızca log4j-core bileşenini etkiler; log4net, log4cxx ve diğer Apache Logging Services projeleri etkilenmez.

Saldırgan ne yapabilir?

Kimlik doğrulaması gerektirmeden ağ üzerinden uzaktan kod çalıştırılabilir; bu da sistemin gizlilik, bütünlük ve erişilebilirlik açısından tamamen ele geçirilmesine yol açabilir.

Ne yapmalı?

1. Log4j2 kütüphanesini düzeltilmiş sürüme güncelleyin: bu işlevselliğin tamamen kaldırıldığı 2.16.0 ve üzeri ya da ilgili Java sürümü için yayımlanan güvenlik sürümleri olan 2.12.2, 2.12.3 veya 2.3.1. 2.15.0 sürümünde davranış yalnızca varsayılan olarak devre dışı bırakılmıştır. Genel öneri
2. CISA'ya göre güncelleme mevcut olan tüm etkilenen varlıklarda kabul edilebilir çözümler yalnızca güncellemeleri uygulamak veya etkilenen varlıkları ağdan çıkarmaktır; geçici azaltma önlemleri yalnızca güncelleme çıkana kadar geçerlidir. CISA
3. Log4j2'yi doğrudan kullanan uygulamaların yanı sıra, kütüphaneyi paketlerinin içinde barındıran üçüncü taraf yazılımları ve ürünleri de belirleyip üreticilerinin yayımladığı güncellemeleri uygulayın. Genel öneri
4. Güncelleme hemen yapılamıyorsa etkilenen sistemleri internete erişimden izole edin veya ağ erişimini kısıtlayın ve en kısa sürede kalıcı güncellemeyi uygulayın. Genel öneri

Ek önlemler

• Sunucuların dışarıya doğru LDAP ve diğer JNDI ile ilişkili bağlantılarını (çıkış trafiğini) güvenlik duvarında kısıtlayın. Genel öneri
• Günlük kayıtlarında ve web uygulaması güvenlik duvarı kayıtlarında JNDI arama kalıpları içeren şüpheli girdileri ve beklenmeyen dış bağlantıları izleyin. Genel öneri
• Güncelleme öncesinde sistemlerin ele geçirilip geçirilmediğini kontrol edin; beklenmeyen süreçler, kullanıcılar veya zamanlanmış görevler arayın. Genel öneri
• Yazılım envanteri tutarak kullandığınız Java kütüphanelerini ve sürümlerini düzenli olarak denetleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

Kaynaklar27 kaynak

• CVE.org kaydı
• NVD kaydı
• tools.cisco.com/…ecurityAdvisory/cisco-sa-apache-log4j-qRuKNEbd Üretici bülteni
• debian.org/security/2021/dsa-5020 Üretici bülteni
• lists.fedoraproject.org/…t.org/message/VU57UJDCFIASIO35GC55JMKSRXJMCDFM Üretici bülteni
• msrc-blog.microsoft.com/…softs-response-to-cve-2021-44228-apache-log4j2 Üretici bülteni
• lists.fedoraproject.org/…t.org/message/M5CSVUNV4HWZZXGOKNSK6L7RPM7BOKIB Üretici bülteni
• kb.cert.org/vuls/id/930724 Üçüncü taraf
• cisa.gov/known-exploited-vulnerabilities-catalog Üçüncü taraf
• logging.apache.org/log4j/2.x/security.html Diğer
• openwall.com/lists/oss-security/2021/12/10/1 Diğer
• openwall.com/lists/oss-security/2021/12/10/2 Diğer
• openwall.com/lists/oss-security/2021/12/10/3 Diğer
• security.netapp.com/advisory/ntap-20211210-0007 Diğer
• packetstormsecurity.com/…pache-Log4j2-2.14.1-Remote-Code-Execution.html Diğer
• psirt.global.sonicwall.com/vuln-detail/SNWLID-2021-0032 Diğer
• oracle.com/security-alerts/alert-cve-2021-44228.html Diğer
• lists.debian.org/debian-lts-announce/2021/12/msg00007.html Diğer
• openwall.com/lists/oss-security/2021/12/13/2 Diğer
• openwall.com/lists/oss-security/2021/12/13/1 Diğer
• openwall.com/lists/oss-security/2021/12/14/4 Diğer
• twitter.com/kurtseifried/status/1469345530182455296 Diğer
• cert-portal.siemens.com/productcert/pdf/ssa-661247.pdf Diğer
• packetstormsecurity.com/…165260/VMware-Security-Advisory-2021-0028.html Diğer
• packetstormsecurity.com/…pache-Log4j2-2.14.1-Remote-Code-Execution.html Diğer
• packetstormsecurity.com/…ache-Log4j2-2.14.1-Information-Disclosure.html Diğer
• intel.com/…n/security-center/advisory/intel-sa-00646.html Diğer

Kayıt geçmişi

1. 10 Ara 2021 03:00Yayımlandı
2. 10 Ara 2021CISA KEV listesine eklendi (saldırılarda kullanılıyor)

İlgili açıklar

• 8,2 CVE-2026-118260Echo: BodyDump captures request and response bodies without size limits in v4
• 7,8 CVE-2026-118617Ultralytics load_dataset_cache_file Deserialization of Untrusted Data Remote Code Execution Vulnerability
• 7,8 CVE-2026-118613Ultralytics torch_load Deserialization of Untrusted Data Remote Code Execution Vulnerability
• 6,5 CVE-2026-88858Server-side expression parser denial of service
• 7,7 CVE-2026-88967Azure Monitor access token disclosure via SSRF
• 9,8 CVE-2026-115968WordPress Ultimate Member plugin <= 2.13.1 - PHP Object Injection vulnerability