Critical Security Vulnerability in Apache Log4j (CVE-2021-45046) Affecting WebAPI
Los mantenedores suelen responder en 1 día
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 3/5
- Tiempo estimado
- 1-2 días
- Aptitud para principiantes
- 35/100
Línea de trabajo
Comienza localizando las declaraciones de dependencia de log4j-core de WebAPI y comprobando la versión resuelta frente a la versión afectada 2.14.0. Actualízala a una versión parcheada como 2.16.0 o superior; después, verifica la resolución de la dependencia y ejecuta las pruebas y comprobaciones de seguridad disponibles del proyecto.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
We have detected a critical security vulnerability (CVE-2021-45046) in Apache Log4j components used by WebAPI. This vulnerability allows attackers to exploit incomplete fixes for CVE-2021-44228 in certain non-default configurations, potentially leading to Remote Code Execution (RCE) and information disclosure.
Details:
- CVE: CVE-2021-45046
- Severity: Critical
- Affected Components: log4j-core versions:
- 2.2 (WEBAPI 2.14.0 uses this version)
- 2.13.3
- 2.14.0
- Exploit Availability: Confirmed
Description:
The fix for CVE-2021-44228 in Log4j 2.15.0 was incomplete. Attackers can manipulate Thread Context Map (MDC) input data when logging configuration uses non-default Pattern Layout with Context Lookup (e.g., $ {ctx:loginId}) or Thread Context Map patterns (%X, %mdc, %MDC). This can result in malicious JNDI lookups, leading to RCE or sensitive data leaks.
Recommended Fix:
- Upgrade to patched versions:
- 2.12.2
- 2.16.0 (or higher)
- Lenguaje dominante
- Java
- Estrellas
- 153
- Forks
- 186
- Merge medio
- 2 d 12 h
- PR fusionados (30 d)
- 13
Preparar el entorno
- Incluye un Dockerfile o un archivo de Docker Compose
- Sin plantilla de pull request
- Sin guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de OHDSI/WebAPI
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 65/100
Los mantenedores suelen responder en 1 día
-
CDM cache warming still fails when cache.achilles.usePersonCount=false (missing `cc` alias in getBatchConceptRecordCount.sql)Posiblemente ocupada @DG47 la tomó hace 1 día. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 82/100
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
Los mantenedores suelen responder en 1 día
-
GET /conceptset/{id}/expression returns items in nondeterministic order (query has no ORDER BY)Abierto
Dificultad 3/5 1-2 días Aptitud para principiantes 67/100
OHDSI/WebAPI#2543 · 3 comentarios ·
Los mantenedores suelen responder en 1 día
-
Dificultad 4/5 3-5 días Aptitud para principiantes 48/100
OHDSI/WebAPI#2513 · 3 comentarios ·
Los mantenedores suelen responder en 1 día
Todos los issues de OHDSI/WebAPI
Issues similares
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
QuiltMC/update-quilt-meta#28 ·
-
awaiting triage Documentation P3
Dificultad 1/5 1-3 horas Aptitud para principiantes 86/100
Los mantenedores suelen responder en 1 día
-
area/build area/maintainability component/camunda-process-test kind/tech-debt
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
Los mantenedores suelen responder en 1 día
-
Kafka: Filter empty strings and whitespace in IcebergSinkConfig stringToListPosiblemente ocupada @mohamed-elbrik la tomó hoy. Abiertobug
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
Los mantenedores suelen responder en 1 día
-
area/kotlin
Dificultad 2/5 1-3 horas Aptitud para principiantes 84/100
Los mantenedores suelen responder en 1 día