CVE-2021-44832: Apache Log4j2 は、攻撃者が設定を制御した場合、JDBC Appender を介して RCE に対して脆弱 | Kitploit

CVE-2021-44832

中公開済み

Apache Log4j2 は、攻撃者が設定を制御した場合、JDBC Appender を介して RCE に対して脆弱

公開済み: 2021/12/28
更新済み: 2026/05/29
CNA の割り当て: apache
観察された証拠: 2026/08/23

プライマリ CVSS

6.6/ 10中

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H

EPSS 確率推定

97.9%

高 · 今後 30 日間

パーセンタイル: 99.9%
モデルの日付: 2026/09/21

EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。

概要

Apache Log4j2 バージョン 2.0-beta7 から 2.17.0（セキュリティ修正リリース 2.3.2 および 2.12.4 を除く）は、構成が JNDI LDAP データソース URI を持つ JDBC Appender を使用し、攻撃者が対象の LDAP サーバーを制御できる場合に、リモートコード実行（RCE）攻撃に対して脆弱です。この問題は、Log4j2 バージョン 2.17.1、2.12.4、および 2.3.2 で JNDI データソース名を java プロトコルに制限することで修正されています。

ソース

Log4ShellRemediation研究
脆弱なSpring Bootアプリケーションで、log4jを使用しており、CVE-2021-44228、CVE-2021-44832、CVE-2021-45046、CVE-2021-45105に対して脆弱です。
log4j_RCE_CVE-2021-44832PoC
Log4j 2.17.0 の RCE (CVE-2021-44832) に対する概念実証エクスプロイト。悪意のある設定ファイルの展開による JNDI インジェクションを利用。
log4j-detectorスキャナー
コンパイル済みJavaクラス（ネストされたアーカイブを含む）を分析することにより、脆弱なLog4Jバージョン（CVE-2021-44228、CVE-2021-45046）を検出するファイルシステムスキャナ。Linux、Windows、Macで動作します。

責任ある使用

脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイトコードや悪意のあるペイロードは保存しません。