CVE-2021-44832
أباتشي Log4j2 معرّض لتنفيذ التعليمات البرمجية عن بعد (RCE) عبر JDBC Appender عندما يتحكم المهاجم في الإعدادات
- تم النشر
- 28/12/2021
- محدث
- 29/05/2026
- تخصيص CNA
- apache
- الأدلة المرصودة
- 23/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:Hمرتفع · الثلاثين يومًا القادمة
- المئوية
- 99.9%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
إصدارات Apache Log4j2 من 2.0-beta7 حتى 2.17.0 (باستثناء إصدارات الإصلاح الأمني 2.3.2 و2.12.4) معرّضة لهجوم تنفيذ التعليمات البرمجية عن بُعد (RCE) عندما تستخدم إحدى التهيئات JDBC Appender مع URI لمصدر بيانات JNDI LDAP وكان المهاجم يتحكم في خادم LDAP الهدف. تم إصلاح هذه المشكلة بتقييد أسماء مصادر بيانات JNDI ببروتوكول java في إصدارات Log4j2 2.17.1 و2.12.4 و2.3.2.
المصادر
- Log4ShellRemediationالبحث
تطبيق Spring Boot ضعيف يستخدم log4j وهو عرضة لـ CVE-2021-44228 و CVE-2021-44832 و CVE-2021-45046 و CVE-2021-45105
استغلال إثبات المفهوم لثغرة Log4j 2.17.0 RCE (CVE-2021-44832) باستخدام حقن JNDI ونشر ملف إعدادات خبيث.
- log4j-detectorالماسح الضوئي
ماسح نظام ملفات يكتشف إصدارات Log4J الضعيفة (CVE-2021-44228, CVE-2021-45046) عن طريق تحليل فئات Java المجمعة، بما في ذلك الأرشيفات المتداخلة. يعمل على لينكس، ويندوز، وماك.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.