CVE-2022-23305

一、漏洞信息
 漏洞编号：[CVE-2022-23305](https://nvd.nist.gov/vuln/detail/CVE-2022-23305)
 漏洞归属组件：log4j12
 漏洞归属的版本：1.2.17
 CVSS V3.0分值：
  BaseScore：9.8 Critical
  Vector：CVSS：3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
 漏洞简述：
  By design, the JDBCAppender in Log4j 1.2.x accepts an SQL statement as a configuration parameter where the values to be inserted are converters from PatternLayout. The message converter, %m, is likely to always be included. This allows attackers to manipulate the SQL by entering crafted strings into input fields or headers of an application that are logged allowing unintended SQL queries to be executed. Note this issue only affects Log4j 1.x when specifically configured to use the JDBCAppender, which is not the default. Beginning in version 2.0-beta8, the JDBCAppender was re-introduced with proper support for parameterized SQL queries and further customization over the columns written to in logs. Apache Log4j 1.2 reached end of life in August 2015. Users should upgrade to Log4j 2 as it addresses numerous other issues from the previous versions.
 漏洞公开时间：2022-01-18
 漏洞创建时间：2022-02-07 10:04:40
 漏洞详情参考链接：
  https://nvd.nist.gov/vuln/detail/CVE-2022-23305
 漏洞分析指导链接：
  https://gitee.com/openeuler/cve-manager/blob/master/cve-vulner-manager/doc/md/manual.md
二、漏洞分析结构反馈
 影响性分析说明：
  
 openEuler评分：
   
 受影响版本排查(受影响/不受影响)：
  1.openEuler-20.03-LTS:
2.openEuler-20.03-LTS-SP1(1.2.17):
3.openEuler-20.03-LTS-SP2(1.2.17):
4.openEuler-20.03-LTS-SP3(1.2.17):

修复是否涉及abi变化(是/否)：
  1.openEuler-20.03-LTS:
2.openEuler-20.03-LTS-SP1(1.2.17):
3.openEuler-20.03-LTS-SP2(1.2.17):
4.openEuler-20.03-LTS-SP3(1.2.17):

影响性分析说明：
按照设计，Log4j 1.2.x 中的 JDBCAppender 接受 SQL 语句作为配置参数，其中要插入的值是来自 PatternLayout 的转换器。消息转换器 %m 可能总是包含在内。这允许攻击者通过将精心设计的字符串输入到记录的应用程序的输入字段或标题中来操纵 SQL，从而允许执行意外的 SQL 查询。请注意，此问题仅在专门配置为使用 JDBCAppender（不是默认设置）时才会影响 Log4j 1.x。从 2.0-beta8 版本开始，重新引入了 JDBCAppender，适当支持参数化 SQL 查询，并进一步自定义写入日志的列。Apache Log4j 1.2 已于 2015 年 8 月结束生命周期。用户应升级到 Log4j 2，因为它解决了以前版本中的许多其他问题。

openEuler评分:(评分和向量)
openEulerScore: 9.8 CRITICAL
Vector：CVSS：
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

受影响版本排查(受影响/不受影响):
1.master(1.2.17):受影响
2.openEuler-20.03-LTS-Next(1.2.17):受影响
3.openEuler-20.03-LTS-SP1(1.2.17):受影响
4.openEuler-20.03-LTS-SP2(1.2.17):受影响
5.openEuler-20.03-LTS-SP3(1.2.17):受影响
6.openEuler-22.03-LTS-Next(1.2.17):受影响
7.openEuler-22.03-LTS(1.2.17):受影响
8.openEuler-21.09(1.2.17):受影响
9.openEuler-20.03-LTS:不受影响

修复是否涉及abi变化(是/否)：
1.master:否
2.openEuler-20.03-LTS-Next:否
3.openEuler-20.03-LTS-SP1:否
4.openEuler-20.03-LTS-SP2:否
5.openEuler-20.03-LTS-SP3:否
6.openEuler-22.03-LTS-Next:否
7.openEuler-22.03-LTS:否
8.openEuler-21.09:否
9.openEuler-20.03-LTS:否

@wk333 经过 cve-manager 解析, 已分析的内容如下表所示:
| 状态  | 需分析 | 内容 |
|:--:|:--:|---------|
|已分析|1.影响性分析说明|按照设计，Log4j 1.2.x 中的 JDBCAppender 接受 SQL 语句作为配置参数，其中要插入的值是来自 PatternLayout 的转换器。消息转换器 %m 可能总是包含在内。这允许攻击者通过将精心设计的字符串输入到记录的应用程序的输入字段或标题中来操纵 SQL，从而允许执行意外的 SQL 查询。请注意，此问题仅在专门配置为使用 JDBCAppender（不是默认设置）时才会影响 Log4j 1.x。从 2.0-beta8 版本开始，重新引入了 JDBCAppender，适当支持参数化 SQL 查询，并进一步自定义写入日志的列。Apache Log4j 1.2 已于 2015 年 8 月结束生命周期。用户应升级到 Log4j 2，因为它解决了以前版本中的许多其他问题。|
|已分析|2.openEulerScore|9.8|
|已分析|2.openEulerVector|AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H|
|已分析|3.受影响版本排查|master:受影响,openEuler-20.03-LTS-Next:受影响,openEuler-20.03-LTS-SP1:受影响,openEuler-20.03-LTS-SP2:受影响,openEuler-20.03-LTS-SP3:受影响,openEuler-22.03-LTS-Next:受影响,openEuler-22.03-LTS:受影响,openEuler-21.09:受影响,openEuler-20.03-LTS:不受影响|
|已分析|4.修复是否涉及abi变化|master:否,openEuler-20.03-LTS-Next:否,openEuler-20.03-LTS-SP1:否,openEuler-20.03-LTS-SP2:否,openEuler-20.03-LTS-SP3:否,openEuler-22.03-LTS-Next:否,openEuler-22.03-LTS:否,openEuler-21.09:否,openEuler-20.03-LTS:否|

**请确认分析内容的准确性, 确认无误后, 您可以进行后续步骤, 否则您可以继续分析.**

src-openEuler/log4j12

内容风险标识

评论 (9)

src-openEuler/log4j12 .gitee-modal { width: 500px !important; }

内容风险标识

CVE-2022-23305

评论 (9)

搜索帮助

src-openEuler/log4j12