KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2021-45046 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
发现Apache Log4j 2.15.0中针对CVE-2021-44228的修复在某些非默认配置中不完整。当日志配置使用带有上下文查找的非默认模式布局（例如，$${ctx:loginId}）时，控制线程上下文映射 (MDC) 输入数据的攻击者可以使用 JNDI 查找模式制作恶意输入数据，导致部分环境信息泄露和远程代码执行
影响范围
应用：Apache Log4j2（影响面 Up to (excluding) 2.12.2）
应用：Apache Log4j2（影响面 Up to (excluding) 2.16.0）
系统：amazon_2 java-11-openjdk（影响面 Up to (excluding) 11.0.13.0.8-1.amzn2.0.3）
系统：amazon_2022 log4j（影响面 Up to (excluding) 2.17.2-1.amzn2022.0.3）
系统：amazon_AMI java-1.8.0-openjdk（影响面 Up to (excluding) 1.6.0.41-1.13.13.1.78.amzn1）
系统：debian_10 apache-log4j2（影响面 Up to (excluding) 2.16.0-1~deb10u1）
系统：debian_11 apache-log4j2（影响面 Up to (excluding) 2.16.0-1~deb11u1）
系统：debian_12 apache-log4j2（影响面 Up to (excluding) 2.16.0-1）
……另有 10 项受影响环境，详见官方公告
解决方案
升级至Log4j 2.12.2 或Log4j 2.16.0
参考信息
http://www.openwall.com/lists/oss-security/2021/12/14/4
http://www.openwall.com/lists/oss-security/2021/12/15/3
http://www.openwall.com/lists/oss-security/2021/12/18/1
https://cert-portal.siemens.com/productcert/pdf/ssa-397453.pdf
https://cert-portal.siemens.com/productcert/pdf/ssa-479842.pdf
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。