预警编号：INSPUR-SA-202112-001
初始宣布时间：2021-12-17 15:50:40
更新宣布时间：2021-12-31 14:10:03
漏洞描述：
Apache Log4j2披露高危漏洞，漏洞编号为CVE-2021-44228、CVE-2021-45105，目今已保存漏洞的技术细节和POC。攻击者可直接结构恶意请求利用该漏洞，触发远程代码执行。
CVSS评分：
| CVE |
V3.1 Vector(Base) |
Base Score |
V3.1 Vector(Temporal Score) |
Temporal Score |
| CVE-2021-44228 |
AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
10 |
E:H/RL:O/RC:C |
9.5 |
| CVE-2021-45105 |
AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
7.5 |
E:P/RL:O/RC:C |
6.7 |
受影响产品：
| 产品名称 |
受影响产品版本 |
修复补丁包/升级包版本 |
| ICM |
<= 5.8.2 |
log4j-fix-kolla-ansible-2.17.0 |
| ICOS |
<= 5.8.2 |
log4j-fix-kolla-ansible-2.17.0 |
| ICKS |
<= 2.3 |
log4j-fix-kolla-ansible-2.17.0 |
| InclousOS |
<= 6.0.1 |
log4j-fix-kolla-ansible-2.17.0 |
| insight |
<= 6.2.3 |
log4j.zip补丁包 |
技术细节：
CVE-2021-44228：Apache Log4j2中保存JNDI注入漏洞，当程序将用户输入的数据进行日志纪录时，即可触发此漏洞。
CVE-2021-45105：当系统日志配置使用非默认的模式结构和上下文查找时，攻击者可以通过结构包括递归查找数据包的方法，控制线程上下文映射 (MDC)，导致StackOverflowError爆发并终止进程，实现拒绝效劳攻击。
漏洞解决计划：
请用户直接联系客户效劳人员，获取补丁以及相关的技术支持。
FAQ：
无
更新纪录：
20211217-V1.0-Initial Release
20211219-V1.1-Update 增加受影响产品
20211220-V1.2-Update 增加漏洞CVE-2021-45105
20211228-V1.3-Update 更新ICM/ICOS/ICKS/InclousOS修复计划
20211231-V1.4-Update 增加受影响产品
pg电子官网宁静应急响应对外效劳：
pg电子官网一贯主张尽全力包管产品用户的最终利益，遵循卖力任的宁静事件披露原则，并通过产品宁静问题处理机制处理产品宁静问题。
获取技术支持：/lcjtww/2317452/2317456/2317460/index.html
选择语言
