CVE-2021-45046

🎯 CVE-2021-45046 🔓 Exploited 🇪🇺 EUVD

💬 0 Diskussion 📄 .md Alle CVEs anzeigen ✕

CVE-2021-45046 | It was found that the fix to address CVE-2021-44228 in Apache Log4j 2.15.0 was incomplete in certain non-default configurations. This could allows attackers with control over Thread Context Map (MDC) input data when the logging configuration uses a non-default Pattern Layout with either a Context Lookup (for example, $${ctx:loginId}) or a Thread Context Map pattern (%X, %mdc, or %MDC) to craft malicious input data using a JNDI Lookup pattern resulting in an i

It was found that the fix to address CVE-2021-44228 in Apache Log4j 2.15.0 was incomplete in certain non-default configurations. This could allows attackers with control over Thread Context Map (MDC) input data when the logging configuration uses a non-default Pattern Layout with either a Context Lookup (for example, $${ctx:loginId}) or a Thread Context Map pattern (%X, %mdc, or %MDC) to craft malicious input data using a JNDI Lookup pattern resulting in an information leak and remote code execution in some environments and local code execution in all environments. Log4j 2.16.0 (Java 8) and 2.12.2 (Java 7) fix this issue by removing support for message lookup patterns and disabling JNDI functionality by default.

Klassifikation & Betroffenheit:

CWE-917 Apache Software Foundation Apache Log4j Apache Log4j2 <2.16.0

Improper Neutralization of Special Elements used in an Expression Language Statement ('Expression Language Injection')

The product constructs all or part of an expression language (EL) statement in a framework such as a Java Server Page (JSP) using externally-influenced input from an upstream component, but it does not neutralize or incorrectly neutralizes special elements that could modify the intended EL statement before it is executed.

🛡️ Empfohlene Mitigation: Avoid adding user-controlled data into an expression interpreter when possible.

Vollständige Definition bei MITRE ➔

🧩 Ähnliche Schwachstellen (Hersteller/Klasse/Score-Band):

CVE-2026-105944 10.0 CVE-2026-78162 10.0 CVE-2026-82434 10.0 CVE-2026-82617 10.0 CVE-2026-46752 10.0

🧪 Exploit-Evidenz:

🐙 cckuailong/Log4j_CVE-2021-45046 🐙 BobTheShoplifter/CVE-2021-45046- 🐙 tejas-nagchandi/CVE-2021-45046 🐙 pravin-pp/log4j2-CVE-2021-45046 🐙 mergebase/log4j-samples

🩹 Patch verfügbar (OSV):

🩹 ad361d2e517e765f69db464d9407ac2dd80bc93e (Commit) 🩹 cffe58f6a433ea1ab60ceb129d4c9b3377acda1d (Commit)

📰 Eigene Berichterstattung: ➔ Analysis of Log4Shell vulnerability & CVE-2021-45046

🇩🇪 BSI-Sicherheitshinweise: BSI · hoch · Oracle Fusion Middleware: Mehrere Schwachstellen ↗ BSI · Juniper Junos Space: Mehrere Schwachstellen ↗ BSI · Apache log4j: Schwachstelle ermöglicht Codeausführung ↗

📚 Referenzen & Quellen:

🇪🇺 Original-Eintrag (ENISA EUVD) 🇺🇸 NVD-Eintrag

Ausnutzungs-Zeitleiste:

Reserviert 2021

Veröffentlicht 12/2021

Im KEV seit 05/2023

Heute 22.10.

CVSS-Vektor-Analyse: 9.0

AV · Angriffsvektor Netzwerk

AC · Komplexität Hoch

PR · Privilegien Keine

UI · Interaktion Keine

S · Scope Verändert

C · Vertraulichkeit Hoch

I · Integrität Hoch

A · Verfügbarkeit Hoch

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

Veröffentlicht:14.12.2021

Aktualisiert:21.10.2025 23:25

Assigner (CNA):apache

EUVD-ID:EUVD-2021-34769

EPSS-Verlauf (27 Messungen)

CWE-917 ✓ Offizieller Patch / Advisory verfügbar

💡 Gegenmaßnahme: Sicherheits-Update des Herstellers zeitnah einspielen und Netzwerksegmentierung prüfen.

Tier	CVEs	Anteil
≥90 %	725	0,2 %
≥50 %	3.224	0,9 %
≥10 %	22.086	5,9 %
<10 %	346.717	93,0 %

Noch keine Analyse zu CVE-2021-45046

Beitrag zu CVE-2021-45046 verfassen

Zero-Day & Vulnerability Intelligence Hub