CVE-2021-45046
Apache Log4j2 Deserialization of Untrusted Data Vulnerability
Beschreibung
CVE-2021-45046 ist eine kritische Schwachstelle in Apache Log4j2, die aus einer unvollständigen Behebung der berüchtigten Log4Shell-Schwachstelle (CVE-2021-44228) in Version 2.15.0 resultiert. Bei bestimmten nicht standardmäßigen Konfigurationen, die Context Lookups oder Thread Context Map Patterns verwenden, können Angreifer über manipulierte JNDI-Lookup-Eingaben Informationen auslesen und in einigen Umgebungen Remote Code Execution erzielen. Mit einem CVSS-Score von 9.0 (Critical), einem EPSS-Score von 94,3 % und der bestätigten Nutzung in Ransomware-Kampagnen gehört CVE-2021-45046 zu den gefährlichsten Schwachstellen der Log4j-Krise.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| apache | log4j | >= 2.0.1, < 2.12.2; >= 2.13.0, < 2.16.0; 2.0 |
| cvat | computer vision annotation tool | - |
| intel | audio development kit | - |
| intel | datacenter manager | - |
| intel | genomics kernel library | - |
| intel | oneapi | - |
| intel | secure device onboard | - |
| intel | sensor solution firmware development kit | - |
| intel | system debugger | - |
| intel | system studio | - |
| siemens | sppa-t3000 ses3000 firmware | Alle Versionen |
| siemens | captial | < 2019.1; 2019.1 |
| siemens | comos | Alle Versionen |
| siemens | desigo cc advanced reports | 4.0; 4.1; 4.2; 5.0; 5.1 |
| siemens | desigo cc info center | 5.0; 5.1 |
| siemens | e-car operation center | < 2021-12-13 |
| siemens | energy engage | 3.1 |
| siemens | energyip | 8.5; 8.6; 8.7; 9.0 |
| siemens | energyip prepay | 3.7; 3.8 |
| siemens | gma-manager | < 8.6.2j-398 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
Referenzen
- http://www.openwall.com/lists/oss-security/2021/12/14/4(Mailing List, Mitigation, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2021/12/15/3(Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2021/12/18/1(Mailing List, Third Party Advisory)
- https://cert-portal.siemens.com/productcert/pdf/ssa-397453.pdf(Third Party Advisory)
- https://cert-portal.siemens.com/productcert/pdf/ssa-479842.pdf(Third Party Advisory)
- https://cert-portal.siemens.com/productcert/pdf/ssa-661247.pdf(Third Party Advisory)
- https://cert-portal.siemens.com/productcert/pdf/ssa-714170.pdf(Third Party Advisory)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/EOKPQGV24RRBBI4TBZUDQMM4MEH7MXCY/(Mailing List, Release Notes)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/SIG7FZULMNK2XF6FZRU4VWYDQXNMUGAJ/(Mailing List, Release Notes)
- https://logging.apache.org/log4j/2.x/security.html(Mitigation, Release Notes, Vendor Advisory)
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2021-0032(Third Party Advisory)
- https://security.gentoo.org/glsa/202310-16(Third Party Advisory)
- https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-apache-log4j-qRuKNEbd(Third Party Advisory)
- https://www.cve.org/CVERecord?id=CVE-2021-44228(Not Applicable)
- https://www.debian.org/security/2021/dsa-5022(Third Party Advisory)
- https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00646.html(Third Party Advisory)
- https://www.kb.cert.org/vuls/id/930724(Third Party Advisory, US Government Resource)
- https://www.oracle.com/security-alerts/alert-cve-2021-44228.html(Third Party Advisory)
- https://www.oracle.com/security-alerts/cpuapr2022.html(Third Party Advisory)
- https://www.oracle.com/security-alerts/cpujan2022.html(Patch, Third Party Advisory)
- https://www.oracle.com/security-alerts/cpujul2022.html(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-45046(US Government Resource)
Schwachstellentyp
CWE-917: Improper Neutralization of Special Elements used in an Expression Language Statement ('Expression Language Injection')
Bei CVE-2021-45046 handelt es sich um eine Expression-Language-Injection-Schwachstelle in Apache Log4j2. Das Logging-Framework verarbeitet bestimmte Eingabedaten in Thread Context Maps und Context Lookups, ohne JNDI-Lookup-Patterns ausreichend zu neutralisieren. Dadurch können Angreifer manipulierte Ausdrücke einschleusen, die vom Log4j2-Parser ausgewertet werden und zu Informationslecks oder Remote Code Execution führen.
Mehr erfahren: CWE-917 — Expression Language Injection
Auswirkungsanalyse
CVE-2021-45046 erreicht einen CVSS-Score von 9.0 (Critical) und stellt trotz der erforderlichen nicht standardmäßigen Konfiguration eine schwerwiegende Bedrohung dar. Die Schwachstelle ist remote ohne physischen Zugang ausnutzbar (Attack Vector: Network), allerdings ist die Angriffskomplexität hoch (High), da bestimmte Logging-Konfigurationen vorhanden sein müssen. Es werden keine Privilegien und keine Benutzerinteraktion benötigt. Besonders kritisch ist der geänderte Scope (Changed), da die Schwachstelle Ressourcen über die verwundbare Log4j-Komponente hinaus beeinflussen kann. Die Auswirkungen auf Vertraulichkeit (High), Integrität (High) und Verfügbarkeit (High) sind vollständig, was bedeutet, dass ein Angreifer Daten auslesen, manipulieren und Systeme lahmlegen kann. Der EPSS-Score von 94,3 % (99,95. Perzentil) und die bestätigte Nutzung in Ransomware-Kampagnen unterstreichen die extreme Bedrohungslage.
Exploit-Reifegrad
CVE-2021-45046 profitiert von der breiten Verfügbarkeit von Exploit-Werkzeugen, die im Rahmen der Log4Shell-Krise (CVE-2021-44228) entwickelt wurden. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestätigt. Besonders alarmierend ist die bestätigte Nutzung in Ransomware-Kampagnen, was die Dringlichkeit der Behebung erheblich steigert. Der EPSS-Score von 94,3 % (99,95. Perzentil) platziert CVE-2021-45046 unter den am wahrscheinlichsten ausgenutzten Schwachstellen weltweit. Da die Schwachstelle aus einer unvollständigen Behebung von CVE-2021-44228 resultiert, sind Systeme, die nur auf Log4j 2.15.0 aktualisiert wurden, weiterhin verwundbar.
Behebung
- Sofortige Aktualisierung auf Log4j 2.16.0 oder neuer: Aktualisieren Sie Apache Log4j2 umgehend auf Version 2.16.0 (Java 8) oder 2.12.2 (Java 7), die JNDI-Funktionalität standardmäßig deaktivieren und Message Lookup Patterns vollständig entfernen. Version 2.15.0 ist nicht ausreichend. Die CISA-Frist zur Behebung war der 22. Mai 2023.
- Alle Abhängigkeiten prüfen: Log4j2 ist in zahlreichen Produkten eingebettet, darunter Intel-Entwicklertools, Siemens-Industriesoftware und viele weitere. Erstellen Sie eine vollständige Software Bill of Materials (SBOM) und identifizieren Sie alle Instanzen von Log4j2 in Ihrer Umgebung.
- JNDI-Lookups deaktivieren als Sofortmaßnahme: Falls ein sofortiges Update nicht möglich ist, entfernen Sie die JndiLookup-Klasse aus dem Classpath: zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class. Setzen Sie zusätzlich die Systemeigenschaft log4j2.formatMsgNoLookups=true.
- Monitoring und Erkennung: Überwachen Sie Logs auf JNDI-Lookup-Muster wie ${jndi:ldap://}, ${jndi:rmi://} und verschleierte Varianten. Prüfen Sie ausgehende Netzwerkverbindungen zu unbekannten LDAP- und RMI-Servern. Suchen Sie nach Indicators of Compromise im Zusammenhang mit bekannten Log4j-Angriffen.
- Langfristige Härtung: Implementieren Sie Netzwerksegmentierung, um ausgehende Verbindungen von Anwendungsservern zu beschränken. Evaluieren Sie den Einsatz von Web Application Firewalls (WAF) mit Regeln zur Erkennung von Log4j-Exploit-Payloads. Etablieren Sie ein Dependency-Management zur frühzeitigen Erkennung verwundbarer Bibliotheken.
Technische Details
CVE-2021-45046 ist eine Expression-Language-Injection-Schwachstelle (CWE-917) in Apache Log4j2, die aus einer unvollständigen Behebung von CVE-2021-44228 (Log4Shell) in Version 2.15.0 resultiert. Die Schwachstelle tritt auf, wenn die Logging-Konfiguration nicht standardmäßige Pattern Layouts verwendet, die Context Lookups (${ctx:loginId}) oder Thread Context Map Patterns (%X, %mdc, %MDC) enthalten. In diesen Fällen können Angreifer, die Kontrolle über Thread-Context-Map-Eingabedaten haben, manipulierte JNDI-Lookup-Patterns einschleusen. Der CVSS-Vektor (AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H) zeigt, dass der Angriff remote, ohne Privilegien und ohne Benutzerinteraktion durchführbar ist, wobei die hohe Angriffskomplexität die Abhängigkeit von bestimmten Konfigurationen widerspiegelt. Der geänderte Scope (S:C) bedeutet, dass die Auswirkung über die Log4j-Komponente hinausgeht und das gesamte Hostsystem betreffen kann. Log4j 2.16.0 behebt das Problem durch vollständige Deaktivierung von JNDI und Entfernung von Message Lookup Patterns.
Häufig gestellte Fragen
Wird CVE-2021-45046 aktiv ausgenutzt?
Ja, CVE-2021-45046 wird aktiv ausgenutzt und ist mit Ransomware-Kampagnen verknüpft. Die CISA hat die Schwachstelle in ihren KEV-Katalog aufgenommen, und die umfangreiche Verfügbarkeit von Log4Shell-Exploits macht die Ausnutzung besonders einfach. Der EPSS-Score von 94,3 % (99,95. Perzentil) bestätigt die extreme Ausnutzungswahrscheinlichkeit. Sofortiges Handeln ist zwingend erforderlich.
Welche Produkte sind von CVE-2021-45046 betroffen?
CVE-2021-45046 betrifft Apache Log4j2 in Versionen vor 2.16.0 (Java 8) bzw. 2.12.2 (Java 7) bei Verwendung nicht standardmäßiger Konfigurationen mit Context Lookups oder Thread Context Map Patterns. Die Bibliothek ist in zahlreichen Produkten eingebettet, darunter Intel-Entwicklungswerkzeuge (Audio Development Kit, OneAPI, System Debugger), Siemens-Industriesoftware (SPPA-T3000, COMOS, Desigo CC, EnergyIP) und viele weitere Enterprise-Anwendungen.
Wie behebe ich CVE-2021-45046?
Aktualisieren Sie Apache Log4j2 umgehend auf Version 2.16.0 (Java 8) oder 2.12.2 (Java 7). Version 2.15.0 ist nicht ausreichend. Prüfen Sie alle Anwendungen und Abhängigkeiten auf eingebettete Log4j2-Instanzen mittels einer Software Bill of Materials. Weitere Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2021-45046?
CVE-2021-45046 hat einen CVSS-Score von 9.0 (Critical) und ermöglicht Remote Code Execution ohne Authentifizierung bei bestimmten Konfigurationen. Die Schwachstelle wird aktiv in Ransomware-Kampagnen eingesetzt. Der EPSS-Score von 94,3 % (99,95. Perzentil) platziert sie unter den am wahrscheinlichsten ausgenutzten Schwachstellen weltweit.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.