CVE-2022-23305
Injection SQL dans JDBC Appender d'Apache Log4j V1
- Publié
- 18 janv. 2022
- Mise à jour
- 27 mai 2026
- Attribution de CNA
- apache
- Preuve observée
- 5 août 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HÉlevé · 30 prochains jours
- Percentile
- 99,3 %
- Date du modèle
- 17 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Par conception, le JDBCAppender de Log4j 1.2.x accepte une instruction SQL comme paramètre de configuration, où les valeurs à insérer sont des convertisseurs de PatternLayout. Le convertisseur de message, %m, est susceptible d'être toujours inclus. Cela permet aux attaquants de manipuler le SQL en saisissant des chaînes conçues dans les champs de saisie ou les en-têtes d'une application qui sont journalisés, permettant l'exécution de requêtes SQL non intentionnelles. Notez que ce problème n'affecte Log4j 1.x que lorsqu'il est spécifiquement configuré pour utiliser le JDBCAppender, ce qui n'est pas le comportement par défaut. À partir de la version 2.0-beta8, le JDBCAppender a été réintroduit avec une prise en charge appropriée des requêtes SQL paramétrées et une personnalisation supplémentaire des colonnes écrites dans les journaux. Apache Log4j 1.2 a atteint sa fin de vie en août 2015. Les utilisateurs doivent passer à Log4j 2, car il corrige de nombreux autres problèmes des versions précédentes.
Sources
- CVE-2022-RCEPoC
test injection de données indésirables inversée CVE-2022-23305 outil exploitation tutoriel Exploit POC
CVE-2022-23305 POC d'injection SQL JDBCAppender Log4J
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.