Vulnerabilidad de Seguridad UNAM-CERT-2021-001 Ejecución remota de código en Apache Log4j

Vulnerabilidad en Apache Log4j permite ejecución de código remoto (RCE)

Fecha de liberación: 
10/12/2021
Última revisión: 
14/12/2021
Fuente: 
https://logging.apache.org/log4j/2.x/security.html
Riesgo: 
Crítico
Problema de vulnerabilidad: 
Remoto
Tipo de vulnerabilidad: 
Ejecución remota de código
CVE ID: 

CVE-2021-44228

Sistemas afectados: 

Todas las versiones de Apache Log4j desde 2.0-beta9 hasta 2.14.1

Descripción: 

Esta vulnerabilidad (CVE-2021-44228) se debe a una validación de entrada incorrecta al procesar solicitudes

Impacto: 

Un atacante podría ejecutar código remoto cuando se utilice una versión vulnerable

Solución: 
  • Actualizar a la versión 2.16.0
  • En versiones mayores o iguales a 2.10 puede ser mitigado especificando la propiedad del sistema log4j2.formatMsgNoLookups o la variable de ambiente LOG4J_FORMAT_MSG_NO_LOOKUPS en verdadero.
  • Para versiones de 2.0-beta9 a la 2.10.0, puede ser mitigado quitando la clase JndiLookup de la ruta de clases (classpath: zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class) 
Referencias: 
  • https://logging.apache.org/log4j/2.x/security.html
  • https://issues.apache.org/jira/browse/LOG4J2-3201
  • https://issues.apache.org/jira/browse/LOG4J2-3198
  • https://nvd.nist.gov/vuln/detail/CVE-2021-44228
  • https://security-tracker.debian.org/tracker/CVE-2021-44228

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración o traducción y revisión de este Documento a:

  • Angie Aguilar Domínguez (angie dot aguilar at cert dot unam dot mx)
  • Sergio Anduin Tovar Balderas (anduin dot tovar at cert dot unam dot mx)

 

UNAM-CERT

Equipo de Respuesta a Incidentes UNAM
Coordinación de Seguridad de la Información

incidentes at cert.unam.mx
phishing at cert.unam.mx
https://www.cert.org.mx
https://www.cert.unam.mx
Tel: 56 22 81 69