Oracle Linux 8:parfait:0.5 (ELSA-2022-0290)

critical Nessus 插件 ID 157159

简介

远程 Oracle Linux 主机缺少一个或多个安全更新。

描述

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2022-0290 公告中提及的多个漏洞的影响。

- 当攻击者对 Log4j 配置具有写入访问权限或该配置引用攻击者具有访问权限的 LDAP 服务时,所有 Log4j 1.x 版本中的 JMSSink 都容易受到反序列化不受信任数据的影响。攻击者可通过提供 TopicConnectionFactoryBindingName 配置,导致 JMSSink 以与 CVE-2021-4104 类似的方式执行 JNDI 请求,从而造成远程代码执行。请注意,此问题仅影响特别配置为使用 JMSSink(非默认设置)的 Log4j 1.x 。Apache Log4j 1.2 已于 2015 年 8 月结束生命周期。用户应升级到 Log4j 2,因为该版本可解决先前版本中存在的许多其他问题。(CVE-2022-23302)

- 按照设计,Log4j 1.2.x 中的 JDBCAppender 接受 SQL 语句作为配置参数,其中要插入的值为来自 PatternLayout 的转换器。可能始终包含消息转换器 %m。这允许攻击者通过在所记录应用程序的输入字段或标头中输入构建的字符串来操纵 SQL,从而允许执行非预期的 SQL 查询。请注意,此问题仅影响特别配置为使用 JDBCAppender(非默认设置)的 Log4j 1.x 。
从 2.0-beta8 版本开始,重新引入 JDBCAppender,以适当支持参数化 SQL 查询,并对日志中写入的列进行进一步自定义。Apache Log4j 1.2 已于 2015 年 8 月结束生命周期。用户应升级到 Log4j 2,因为该版本可解决先前版本中存在的许多其他问题。(CVE-2022-23305)

- CVE-2020-9493 发现 Apache Chainsaw 中存在一个反序列化问题。V2.0 之前版本的 Chainsaw 属于 Apache Log4j 1.2.x 的一个组件,其中存在相同的问题。(CVE-2022-23307)

- 当攻击者具有 Log4j 配置的写入权限时,Log4j 1.2 中的 JMSAppender 容易受到不受信任数据反序列化的影响。攻击者可通过提供 TopicBindingName 和 TopicConnectionFactoryBindingName 配置,导致 JMSAppender 以与 CVE-2021-44228 类似的方式执行 JNDI 请求,从而造成远程代码执行。请注意,此问题仅影响特别配置为使用 JMSAppender(非默认设置)的 Log4j 1.2 。Apache Log4j 1.2 已于 2015 年 8 月结束生命周期。用户应升级到 Log4j 2,因为该版本可解决先前版本中存在的许多其他问题。(CVE-2021-4104)

请注意,Nessus 尚未测试此问题,而是只依据应用程序自我报告的版本号进行判断。

解决方案

更新受影响的程序包。

另见

https://linux.oracle.com/errata/ELSA-2022-0290.html

插件详情

严重性: Critical

ID: 157159

文件名: oraclelinux_ELSA-2022-0290.nasl

版本: 1.8

类型: local

代理: unix

发布时间: 2022/1/27

最近更新时间: 2024/10/23

支持的传感器: Frictionless Assessment Agent, Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 6.7

CVSS v2

风险因素: High

基本分数: 9

时间分数: 7

矢量: CVSS2#AV:N/AC:L/Au:S/C:C/I:C/A:C

CVSS 分数来源: CVE-2022-23307

CVSS v3

风险因素: Critical

基本分数: 9.8

时间分数: 8.8

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

时间矢量: CVSS:3.0/E:P/RL:O/RC:C

CVSS 分数来源: CVE-2022-23305

漏洞信息

CPE: p-cpe:/a:oracle:linux:unit-api-javadoc, p-cpe:/a:oracle:linux:parfait-examples, p-cpe:/a:oracle:linux:uom-se-javadoc, p-cpe:/a:oracle:linux:uom-lib, p-cpe:/a:oracle:linux:uom-lib-javadoc, p-cpe:/a:oracle:linux:si-units, p-cpe:/a:oracle:linux:uom-parent, p-cpe:/a:oracle:linux:uom-se, cpe:/o:oracle:linux:8, p-cpe:/a:oracle:linux:unit-api, p-cpe:/a:oracle:linux:pcp-parfait-agent, p-cpe:/a:oracle:linux:uom-systems-javadoc, p-cpe:/a:oracle:linux:uom-systems, p-cpe:/a:oracle:linux:si-units-javadoc, p-cpe:/a:oracle:linux:parfait, p-cpe:/a:oracle:linux:parfait-javadoc

必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux

可利用: true

易利用性: Exploits are available

补丁发布日期: 2022/1/27

漏洞发布日期: 2021/12/14

参考资料信息

CVE: CVE-2021-4104, CVE-2022-23302, CVE-2022-23305, CVE-2022-23307

IAVA: 0001-A-0650, 2021-A-0573