CVE-2021-44228

गंभीरप्रकाशित

Apache Log4j2 JNDI सुविधाएँ हमलावर-नियंत्रित LDAP और अन्य JNDI संबंधित एंडपॉइंट्स के विरुद्ध सुरक्षा प्रदान नहीं करती हैं

प्रकाशित: 10 दिस॰ 2021
अद्यतन: 21 अक्टू॰ 2025
सीएनए असाइन करना: apache
साक्ष्य देखे गए: 10 दिस॰ 2021

प्राथमिक सीवीएसएस

10.0/ 10गंभीर

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

ईपीएसएस संभाव्यता अनुमान

100.0%

उच्च · अगले 30 दिन

प्रतिशत: 100.0%
मॉडल दिनांक: 18 अक्टू॰ 2026

ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।

सीआईएसए ज्ञात शोषण

यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।

सारांश

Apache Log4j2 2.0-beta9 से 2.15.0 तक (सुरक्षा रिलीज़ 2.12.2, 2.12.3, और 2.3.1 को छोड़कर) कॉन्फ़िगरेशन, लॉग संदेशों और पैरामीटरों में उपयोग की जाने वाली JNDI सुविधाएँ हमलावर-नियंत्रित LDAP और अन्य JNDI संबंधित एंडपॉइंट्स के विरुद्ध सुरक्षा प्रदान नहीं करती हैं। एक हमलावर जो लॉग संदेशों या लॉग संदेश पैरामीटरों को नियंत्रित कर सकता है, वह संदेश लुकअप प्रतिस्थापन सक्षम होने पर LDAP सर्वर से लोड किया गया मनमाना कोड निष्पादित कर सकता है। log4j 2.15.0 से, यह व्यवहार डिफ़ॉल्ट रूप से अक्षम कर दिया गया है। संस्करण 2.16.0 (2.12.2, 2.12.3, और 2.3.1 के साथ) से, यह कार्यक्षमता पूरी तरह से हटा दी गई है। ध्यान दें कि यह भेद्यता log4j-core के लिए विशिष्ट है और log4net, log4cxx, या अन्य Apache Logging Services परियोजनाओं को प्रभावित नहीं करती है।

स्रोत

रिपॉज़िटरी साक्ष्य: फ़ाइलें: 7 · रिपॉज़िटरी: 3

5 मॉड्यूल1 टेम्पलेट1 लैब

Log4Shell HTTP Scannerमॉड्यूल
modules/auxiliary/scanner/http/log4shell_scanner.rb
Metasploit Framework modules
पता लगानासाक्ष्य देखे गए: 25 सित॰ 2026संशोधन: 0aba40c4066aसंबंधित टूल
घोषित शर्तें
- verification: check_not_declared($.auxiliary_scanner/http/log4shell_scanner.check)
Apache Log4j2 lookup JNDI Injectionलैब
log4j/CVE-2021-44228
Apache Log4j2 lookup feature JNDI injection (CVE-2021-44228)
Vulhub vulnerability labs
अनुसंधानसाक्ष्य देखे गए: 25 सित॰ 2026संशोधन: 9b90d4276f84संबंधित टूल
घोषित शर्तें
- lab image version: vulhub/solr:8.11.0(log4j/CVE-2021-44228/docker-compose.yml:services.solr.image)
MobileIron Core Unauthenticated JNDI Injection RCE (via Log4Shell)मॉड्यूल
modules/exploits/linux/http/mobileiron_core_log4shell.rb
Metasploit Framework modules
एक्सप्लॉइटसाक्ष्य देखे गए: 26 सित॰ 2026संशोधन: 0aba40c4066aसंबंधित टूल
घोषित शर्तें
- platform: Unix($.exploit_linux/http/mobileiron_core_log4shell.platform)
- verification: check_declared($.exploit_linux/http/mobileiron_core_log4shell.check)
Log4Shell HTTP Header Injectionमॉड्यूल
modules/exploits/multi/http/log4shell_header_injection.rb
Metasploit Framework modules
एक्सप्लॉइटसाक्ष्य देखे गए: 26 सित॰ 2026संशोधन: 0aba40c4066aसंबंधित टूल
घोषित शर्तें
- platform: Java,Unix,Windows($.exploit_multi/http/log4shell_header_injection.platform)
- verification: check_declared($.exploit_multi/http/log4shell_header_injection.check)
UniFi Network Application Unauthenticated JNDI Injection RCE (via Log4Shell)मॉड्यूल
modules/exploits/multi/http/ubiquiti_unifi_log4shell.rb
Metasploit Framework modules
एक्सप्लॉइटसाक्ष्य देखे गए: 26 सित॰ 2026संशोधन: 0aba40c4066aसंबंधित टूल
घोषित शर्तें
- platform: Unix,Windows($.exploit_multi/http/ubiquiti_unifi_log4shell.platform)
- verification: check_declared($.exploit_multi/http/ubiquiti_unifi_log4shell.check)
VMware vCenter Server Unauthenticated JNDI Injection RCE (via Log4Shell)मॉड्यूल
modules/exploits/multi/http/vmware_vcenter_log4shell.rb
Metasploit Framework modules
एक्सप्लॉइटसाक्ष्य देखे गए: 26 सित॰ 2026संशोधन: 0aba40c4066aसंबंधित टूल
घोषित शर्तें
- platform: Unix,Windows($.exploit_multi/http/vmware_vcenter_log4shell.platform)
- verification: check_declared($.exploit_multi/http/vmware_vcenter_log4shell.check)
Apache Log4j2 Remote Code Injectionटेम्पलेट
http/cves/2021/CVE-2021-44228.yaml
Nuclei Templates
पता लगानासाक्ष्य देखे गए: 26 सित॰ 2026संशोधन: 008731b339bdसंबंधित टूल
घोषित शर्तें
- network: http($.protocol_keys)
- verification: regex,word($.matchers[*].type)
- oob: interactsh_reference($.template_text)

जिम्मेदारीपूर्ण उपयोग

भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।