SecBoard
Zurück zur CVE-Übersicht

CVE-2022-23305

CRITICAL(9.8)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score44/100 — MITTEL
  • CVSS 9.8 — Kritisch
  • EPSS 67%

Erwähnungen (letzte 60 Tage)

Artikel

EPSS-Score

66.5%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

CVE-2022-23305 betrifft den JDBCAppender in Apache Log4j 1.2.x. Diese Schwachstelle ermöglicht Angreifern die Manipulation von SQL-Abfragen durch speziell gestaltete Eingaben in Anwendungsfeldern oder Headern, die protokolliert werden. Dies kann zur Ausführung unbeabsichtigter SQL-Befehle führen, sofern der JDBCAppender explizit konfiguriert ist, was nicht der Standard ist.

Mit einem CVSS-Score von 9.8 (CRITICAL) und einer EPSS-Wahrscheinlichkeit von 67% ist das Risiko als sehr hoch einzustufen. Obwohl die Schwachstelle nicht in CISAs KEV-Katalog aufgeführt ist, deutet die hohe EPSS-Rate auf eine signifikante Exploit-Wahrscheinlichkeit hin. Apache Log4j 1.2 hat sein End-of-Life bereits im August 2015 erreicht.

Security-Teams sollten umgehend prüfen, ob Log4j 1.2.x mit dem JDBCAppender in ihrer Umgebung eingesetzt wird. Die dringlichste Maßnahme ist ein Upgrade auf Log4j 2, da dies zahlreiche Probleme der Vorgängerversionen behebt und die betroffene Komponente mit parametrisierten SQL-Abfragen neu implementiert wurde.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

By design, the JDBCAppender in Log4j 1.2.x accepts an SQL statement as a configuration parameter where the values to be inserted are converters from PatternLayout. The message converter, %m, is likely to always be included. This allows attackers to manipulate the SQL by entering crafted strings into input fields or headers of an application that are logged allowing unintended SQL queries to be executed. Note this issue only affects Log4j 1.x when specifically configured to use the JDBCAppender, which is not the default. Beginning in version 2.0-beta8, the JDBCAppender was re-introduced with proper support for parameterized SQL queries and further customization over the columns written to in logs. Apache Log4j 1.2 reached end of life in August 2015. Users should upgrade to Log4j 2 as it addresses numerous other issues from the previous versions.

GitHub Advisories

GHSA-65fg-84f6-3jq3CRITICAL

SQL Injection in Log4j 1.2.x

maven/log4j:log4j
GitHub Advisory

Referenzen