CVE-2021-45046
Apache Log4j2 Thread Context Message Pattern و Context Lookup Pattern معرضة لهجوم حجب الخدمة
- تم النشر
- 14/12/2021
- محدث
- 21/10/2025
- تخصيص CNA
- apache
- الأدلة المرصودة
- 01/05/2023
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:Hمرتفع · الثلاثين يومًا القادمة
- المئوية
- 100.0%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
CISA معروف باستغلاله
يظهر CVE هذا في كتالوج الثغرات الأمنية المعروفة بـ CISA.
ملخص
تبيّن أن الإصلاح الذي عالج CVE-2021-44228 في Apache Log4j 2.15.0 كان غير مكتمل في بعض التهيئات غير الافتراضية. وقد يسمح هذا للمهاجمين الذين يتحكمون في بيانات إدخال Thread Context Map (MDC)، عندما تستخدم تهيئة التسجيل Pattern Layout غير افتراضي مع إما Context Lookup (على سبيل المثال، $${ctx:loginId}) أو نمط Thread Context Map (%X، أو %mdc، أو %MDC)، بصياغة بيانات إدخال خبيثة باستخدام نمط JNDI Lookup، مما يؤدي إلى تسريب معلومات وتنفيذ تعليمات برمجية عن بُعد في بعض البيئات وتنفيذ تعليمات برمجية محليًا في جميع البيئات. يعالجان Log4j 2.16.0 (Java 8) و2.12.2 (Java 7) هذه المشكلة عن طريق إزالة دعم أنماط بحث الرسائل وتعطيل وظيفة JNDI افتراضيًا.
المصادر
modules/auxiliary/scanner/http/log4shell_scanner.rb
Metasploit Framework modulesالشروط المعلنة
- verification: check_not_declared($.auxiliary_scanner/http/log4shell_scanner.check)
http/cves/2021/CVE-2021-45046.yaml
Nuclei Templatesالشروط المعلنة
- network: http($.protocol_keys)
- verification: regex,word($.matchers[*].type)
- oob: interactsh_reference($.template_text)
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.