Apache log4j: Mehrere Schwachstellen

Summary

Product

Vulnerabilities 3

• Critical 9.8
  CVE-2022-23305 Public exploit EPSS 67%

  SQL injection in JDBC Appender in Apache Log4j V1

  By design, the JDBCAppender in Log4j 1.2.x accepts an SQL statement as a configuration parameter where the values to be inserted are converters from PatternLayout. The message converter, %m, is likely to always be included. This allows attackers to manipulate…

  Apache Software Foundation Apache Log4j 1.x druid apache-log4j1.2 Debian Ubuntu Wolfi Maven
  Jan 18, 2022
• High 8.8
  CVE-2022-23302 EPSS 64%

  Deserialization of untrusted data in JMSSink in Apache Log4j 1.x

  JMSSink in all versions of Log4j 1.x is vulnerable to deserialization of untrusted data when the attacker has write access to the Log4j configuration or if the configuration references an LDAP service the attacker has access to. The attacker can provide a Top…

  Apache Software Foundation Apache Log4j 1.x druid apache-log4j1.2 Debian Ubuntu Wolfi Maven
  Jan 18, 2022
• High 8.8
  CVE-2022-23307 EPSS 54%

  A deserialization flaw in the Chainsaw component of Log4j 1 can lead to malicious code execution.

  CVE-2020-9493 identified a deserialization issue that was present in Apache Chainsaw. Prior to Chainsaw V2.0 Chainsaw was a component of Apache Log4j 1.2.x where the same issue exists.

  Apache Software Foundation Apache Log4j 1.x druid apache-log4j1.2 Debian Ubuntu Wolfi Maven
  Jan 18, 2022

Revision history

1. 2025-06-23 #33

   Neue Updates von Ubuntu aufgenommen

2. 2024-05-14 #32

   Neue Updates von IBM aufgenommen

3. 2024-02-18 #31

   Neue Updates von Gentoo aufgenommen

4. 2023-10-29 #30

   Neue Updates von IBM aufgenommen

5. 2023-07-24 #29

   Neue Updates von IBM aufgenommen

6. 2023-04-05 #28

   Neue Updates von Ubuntu und Amazon aufgenommen

7. 2022-10-16 #27

   Neue Updates von IBM aufgenommen

8. 2022-06-30 #26

   Neue Updates von Red Hat aufgenommen

9. 2022-05-23 #25

   Neue Updates von Oracle Linux aufgenommen

10. 2022-05-10 #24

    Neue Updates von HCL aufgenommen

11. 2022-04-27 #23

    Neue Updates von HCL aufgenommen

12. 2022-04-24 #22

    Neue Updates von HCL aufgenommen

13. 2022-04-11 #21

    Neue Updates von Red Hat aufgenommen

14. 2022-04-03 #20

    Neue Updates von IBM aufgenommen

15. 2022-03-29 #19

    Neue Updates von HCL aufgenommen

16. 2022-03-16 #18

    Neue Updates von IBM aufgenommen

17. 2022-03-08 #17

    Neue Updates von NetApp aufgenommen

18. 2022-03-03 #16

    Neue Updates von BROCADE aufgenommen

19. 2022-02-23 #15

    Neue Updates von Red Hat aufgenommen

20. 2022-02-21 #14

    Neue Updates von Amazon aufgenommen

21. 2022-02-17 #13

    Neue Updates von IBM aufgenommen

22. 2022-02-15 #12

    Neue Updates von Red Hat aufgenommen

23. 2022-02-14 #11

    Neue Updates von Red Hat aufgenommen

24. 2022-02-10 #10

    Neue Updates von Red Hat aufgenommen

25. 2022-02-09 #9

    Neue Updates von SUSE und Red Hat aufgenommen

References

• Red Hat Bugzilla - Bug 2041949 vom 2022-01-18
  https://bugzilla.redhat.com/show_bug.cgi?id=2041949
• Eintrag in der OSS-Mailinglist vom 2022-01-18
  http://seclists.org/oss-sec/2022/q1/50
• Eintrag in der OSS-Mailinglist vom 2022-01-18
  http://seclists.org/oss-sec/2022/q1/51
• Eintrag in der OSS-Mailinglist vom 2022-01-18
  http://seclists.org/oss-sec/2022/q1/52
• Red Hat Security Advisory RHSA-2022:0290 vom 2022-01-26
  https://access.redhat.com/errata/RHSA-2022:0290
• SUSE Security Update SUSE-SU-2022:14881-1 vom 2022-01-26
  https://lists.suse.com/pipermail/sle-security-updates/2022-January/010085.html
• Red Hat Security Advisory RHSA-2022:0291 vom 2022-01-26
  https://access.redhat.com/errata/RHSA-2022:0291
• Red Hat Security Advisory RHSA-2022:0289 vom 2022-01-26
  https://access.redhat.com/errata/RHSA-2022:0289
• Red Hat Security Advisory RHSA-2022:0294 vom 2022-01-26
  https://access.redhat.com/errata/RHSA-2022:0294
• Oracle Linux Security Advisory ELSA-2022-0290 vom 2022-01-27
  http://linux.oracle.com/errata/ELSA-2022-0290.html
• SUSE Security Update SUSE-SU-2022:0214-1 vom 2022-01-27
  https://lists.suse.com/pipermail/sle-security-updates/2022-January/010127.html
• SUSE Security Update SUSE-SU-2022:0212-1 vom 2022-01-27
  https://lists.suse.com/pipermail/sle-security-updates/2022-January/010124.html
• SUSE Security Update SUSE-SU-2022:0226-1 vom 2022-01-28
  https://lists.suse.com/pipermail/sle-security-updates/2022-January/010135.html
• Debian Security Advisory DLA-2905 vom 2022-01-31
  https://lists.debian.org/debian-lts-announce/2022/01/msg00033.html
• Red Hat Security Advisory RHSA-2022:0437 vom 2022-02-04
  https://access.redhat.com/errata/RHSA-2022:0437
• Red Hat Security Advisory RHSA-2022:0430 vom 2022-02-03
  https://access.redhat.com/errata/RHSA-2022:0430
• Red Hat Security Advisory RHSA-2022:0439 vom 2022-02-04
  https://access.redhat.com/errata/RHSA-2022:0439
• Red Hat Security Advisory RHSA-2022:0436 vom 2022-02-04
  https://access.redhat.com/errata/RHSA-2022:0436
• Red Hat Security Advisory RHSA-2022:0435 vom 2022-02-04
  https://access.redhat.com/errata/RHSA-2022:0435
• Red Hat Security Advisory RHSA-2022:0438 vom 2022-02-04
  https://access.redhat.com/errata/RHSA-2022:0438
• Oracle Linux Security Advisory ELSA-2022-0442 vom 2022-02-08
  http://linux.oracle.com/errata/ELSA-2022-0442.html
• Red Hat Security Advisory RHSA-2022:0442 vom 2022-02-08
  https://access.redhat.com/errata/RHSA-2022:0442
• Red Hat Security Advisory RHSA-2022:0444 vom 2022-02-08
  https://access.redhat.com/errata/RHSA-2022:0444
• Red Hat Security Advisory RHSA-2022:0445 vom 2022-02-08
  https://access.redhat.com/errata/RHSA-2022:0445
• Red Hat Security Advisory RHSA-2022:0448 vom 2022-02-08
  https://access.redhat.com/errata/RHSA-2022:0448
• Red Hat Security Advisory RHSA-2022:0449 vom 2022-02-08
  https://access.redhat.com/errata/RHSA-2022:0449
• Red Hat Security Advisory RHSA-2022:0446 vom 2022-02-08
  https://access.redhat.com/errata/RHSA-2022:0446
• Red Hat Security Advisory RHSA-2022:0447 vom 2022-02-08
  https://access.redhat.com/errata/RHSA-2022:0447
• Red Hat Security Advisory RHSA-2022:0450 vom 2022-02-08
  https://access.redhat.com/errata/RHSA-2022:0450
• CentOS Security Advisory CESA-2022:0442 vom 2022-02-07
  https://lists.centos.org/pipermail/centos-announce/2022-February/073555.html
• Red Hat Security Advisory RHSA-2022:0475 vom 2022-02-09
  https://access.redhat.com/errata/RHSA-2022:0475
• Red Hat Security Advisory RHSA-2022:0467 vom 2022-02-08
  https://access.redhat.com/errata/RHSA-2022:0467
• Red Hat Security Advisory RHSA-2022:0469 vom 2022-02-08
  https://access.redhat.com/errata/RHSA-2022:0469
• SUSE Security Update SUSE-SU-2022:0354-1 vom 2022-02-09
  https://lists.suse.com/pipermail/sle-security-updates/2022-February/010195.html
• Red Hat Security Advisory RHSA-2022:0497 vom 2022-02-09
  https://access.redhat.com/errata/RHSA-2022:0497
• SUSE Security Update SUSE-SU-2022:0355-1 vom 2022-02-09
  https://lists.suse.com/pipermail/sle-security-updates/2022-February/010196.html
• Red Hat Security Advisory RHSA-2022:0507 vom 2022-02-10
  https://access.redhat.com/errata/RHSA-2022:0507
• Red Hat Security Advisory RHSA-2022:0527 vom 2022-02-14
  https://access.redhat.com/errata/RHSA-2022:0527
• Red Hat Security Advisory RHSA-2022:0524 vom 2022-02-14
  https://access.redhat.com/errata/RHSA-2022:0524
• Red Hat Security Advisory RHSA-2022:0553 vom 2022-02-15
  https://access.redhat.com/errata/RHSA-2022:0553
• IBM Security Bulletin 6557248 vom 2022-02-18
  https://www.ibm.com/blogs/psirt/security-bulletin-ibm-websphere-application-server-and-ibm-websphere-application-server-liberty-are-vulnerable-to-arbitrary-code-execution-and-sql-injection-due-to-apache-log4j-cve-2022-23302-cve/
• Amazon Linux Security Advisory ALAS-2022-1750 vom 2022-02-21
  https://alas.aws.amazon.com/AL2/ALAS-2022-1750.html
• Red Hat Security Advisory RHSA-2022:0661 vom 2022-02-23
  https://access.redhat.com/errata/RHSA-2022:0661
• Brocade Security Advisory BSA-2022-1680 vom 2022-03-03
  https://www.broadcom.com/support/fibre-channel-networking/security-advisories/brocade-security-advisory-2022-1680
• NetApp Security Advisory NTAP-20220204-0004 vom 2022-03-09
  https://security.netapp.com/advisory/ntap-20220204-0004/
• IBM Security Bulletin 6563857 vom 2022-03-17
  https://www.ibm.com/blogs/psirt/security-bulletin-due-to-use-of-apache-log4j-ibm-netcool-omnibus-probe-dsl-factory-framework-is-vulnerable-to-arbitrary-code-execution-cve-2022-23302-cve-2022-23307-and-sql-injection-cve-2022-2/
• HCL Article KB0096807 vom 2022-03-29
  https://support.hcltechsw.com/csm?id=kb_article&sysparm_article=KB0096807
• IBM Security Bulletin 6568731 vom 2022-04-02
  https://www.ibm.com/blogs/psirt/security-bulletin-ibm-app-connect-enterprise-ibm-integration-bus-are-vulnerable-to-arbitrary-code-execution-due-to-apache-log4j-cve-2022-23307-cve-2022-23302-and-sql-injection-due-to-apache/
• Red Hat Security Advisory RHSA-2022:1299 vom 2022-04-11
  https://access.redhat.com/errata/RHSA-2022:1299
• Red Hat Security Advisory RHSA-2022:1297 vom 2022-04-11
  https://access.redhat.com/errata/RHSA-2022:1297
• Red Hat Security Advisory RHSA-2022:1296 vom 2022-04-11
  https://access.redhat.com/errata/RHSA-2022:1296
• HCL Article KB0097650 vom 2022-04-23
  https://support.hcltechsw.com/csm?id=kb_article&sysparm_article=KB0097650
• HCL Article KB0097639 vom 2022-04-23
  https://support.hcltechsw.com/csm?id=kb_article&sysparm_article=KB0097639
• HCL Article KB0097787 vom 2022-04-28
  https://support.hcltechsw.com/csm?id=kb_article&sysparm_article=KB0097787
• HCL Article KB0097905 vom 2022-05-11
  https://support.hcltechsw.com/csm?id=kb_article&sysparm_article=KB0097905
• Oracle Linux Security Advisory ELSA-2022-9419 vom 2022-05-23
  https://linux.oracle.com/errata/ELSA-2022-9419.html
• Red Hat Security Advisory RHSA-2022:5460 vom 2022-07-01
  https://access.redhat.com/errata/RHSA-2022:5460
• Red Hat Security Advisory RHSA-2022:5459 vom 2022-07-01
  https://access.redhat.com/errata/RHSA-2022:5459
• Red Hat Security Advisory RHSA-2022:5458 vom 2022-07-01
  https://access.redhat.com/errata/RHSA-2022:5458
• IBM Security Bulletin 6829357 vom 2022-10-15
  https://www.ibm.com/blogs/psirt/security-bulletin-ibm-infosphere-information-server-may-be-affected-by-vulnerabilities-in-apache-log4j-1-x-version-2/
• Ubuntu Security Notice USN-5998-1 vom 2023-04-06
  https://ubuntu.com/security/notices/USN-5998-1
• Amazon Linux Security Advisory ALAS-2023-1718 vom 2023-04-06
  https://alas.aws.amazon.com/ALAS-2023-1718.html
• IBM Security Bulletin 7009621 vom 2023-07-25
  https://www.ibm.com/support/pages/node/7014395
• IBM Security Bulletin vom 2023-10-27
  https://www.ibm.com/support/pages/node/7060803
• Gentoo Linux Security Advisory GLSA-202402-16 vom 2024-02-18
  https://security.gentoo.org/glsa/202402-16
• IBM Security Bulletin 7152257 vom 2024-05-15
  https://www.ibm.com/support/pages/node/7152257
• Ubuntu Security Notice USN-7590-1 vom 2025-06-23
  https://ubuntu.com/security/notices/USN-7590-1