- Aktif istismar
- Yama var
- CWE-917
CVE-2021-45046
Apache Log4j2'de JNDI Lookup ile uzaktan kod çalıştırma ve bilgi sızıntısı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 1779 gün
- Kaydı açan
- apache
Yönetici özeti
Yaygın kullanılan Log4j günlükleme kütüphanesindeki bu açık, saldırganların sunucularda yetkisiz kod çalıştırmasına ve veri sızdırmasına imkân tanıyabilir. Açığın aktif olarak istismar edildiği bilinmektedir. Etkilenen sistemlerin vakit kaybetmeden güncellenmesi gerekir.
ÖzetTürkçe
Log4j 2.15.0 ile CVE-2021-44228 için yapılan düzeltme, bazı varsayılan olmayan yapılandırmalarda yetersiz kalmıştır. Günlükleme yapılandırması Context Lookup (örneğin ) veya Thread Context Map deseni (%X, %mdc, %MDC) içeren varsayılan dışı bir Pattern Layout kullanıyorsa, Thread Context Map (MDC) verisini kontrol edebilen saldırgan JNDI Lookup içeren zararlı girdi hazırlayabilir. Etkilenen sürümler 2.16.0 öncesi Apache Log4j sürümleridir. Açık, CISA KEV listesinde yer almaktadır.
Saldırgan ne yapabilir?
Saldırgan bilgi sızdırabilir, bazı ortamlarda uzaktan, tüm ortamlarda ise yerel kod çalıştırabilir. Bu durum sistemin tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
It was found that the fix to address CVE-2021-44228 in Apache Log4j 2.15.0 was incomplete in certain non-default configurations. This could allows attackers with control over Thread Context Map (MDC) input data when the logging configuration uses a non-default Pattern Layout with either a Context Lookup (for example, $${ctx:loginId}) or a Thread Context Map pattern (%X, %mdc, or %MDC) to craft malicious input data using a JNDI Lookup pattern resulting in an information leak and remote code execution in some environments and local code execution in all environments. Log4j 2.16.0 (Java 8) and 2.12.2 (Java 7) fix this issue by removing support for message lookup patterns and disabling JNDI functionality by default.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Log4j'yi Java 8 için 2.16.0 sürümüne, Java 7 için 2.12.2 sürümüne yükseltin; bu sürümler mesaj lookup desteğini kaldırır ve JNDI işlevselliğini varsayılan olarak kapatır. Üretici
- Üretici talimatlarına uygun şekilde güncellemeleri uygulayın. CISA
- Log4j'yi içinde barındıran üçüncü taraf uygulamaları ve ürünleri belirleyin, bunlar için de üreticilerin güncellemelerini uygulayın. Genel öneri
Ek önlemler
- Log4j kullanan tüm uygulamaların envanterini çıkarın; bağımlılıkları ve paketlenmiş (gömülü) kütüphaneleri de kontrol edin. Genel öneri
- Günlükleme yapılandırmalarında Context Lookup ve MDC desenlerinin kullanımını gözden geçirin, gereksiz olanları kaldırın. Genel öneri
- Uygulama sunucularının dışarıya yönelik gereksiz bağlantılarını kısıtlayın ve şüpheli JNDI içerikli günlük kayıtlarını izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache Log4j | < 2.16.0 | 2.16.0 |
Kaynaklar23 kaynak
- CVE.org kaydı
- NVD kaydı
- tools.cisco.com/…ecurityAdvisory/cisco-sa-apache-log4j-qRuKNEbd Üretici bülteni
- debian.org/security/2021/dsa-5022 Üretici bülteni
- lists.fedoraproject.org/…t.org/message/EOKPQGV24RRBBI4TBZUDQMM4MEH7MXCY Üretici bülteni
- lists.fedoraproject.org/…t.org/message/SIG7FZULMNK2XF6FZRU4VWYDQXNMUGAJ Üretici bülteni
- kb.cert.org/vuls/id/930724 Üçüncü taraf
- psirt.global.sonicwall.com/vuln-detail/SNWLID-2021-0032 Diğer
- oracle.com/security-alerts/alert-cve-2021-44228.html Diğer
- cve.org/CVERecord Diğer
- openwall.com/lists/oss-security/2021/12/14/4 Diğer
- logging.apache.org/log4j/2.x/security.html Diğer
- cert-portal.siemens.com/productcert/pdf/ssa-661247.pdf Diğer
- intel.com/…n/security-center/advisory/intel-sa-00646.html Diğer
- openwall.com/lists/oss-security/2021/12/15/3 Diğer
- cert-portal.siemens.com/productcert/pdf/ssa-714170.pdf Diğer
- openwall.com/lists/oss-security/2021/12/18/1 Diğer
- cert-portal.siemens.com/productcert/pdf/ssa-397453.pdf Diğer
- cert-portal.siemens.com/productcert/pdf/ssa-479842.pdf Diğer
- oracle.com/security-alerts/cpujan2022.html Diğer
- oracle.com/security-alerts/cpuapr2022.html Diğer
- oracle.com/security-alerts/cpujul2022.html Diğer
- security.gentoo.org/glsa/202310-16 Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.