Critical Security Vulnerability in Apache Log4j (CVE-2021-45046) Affecting WebAPI
Maintainer thường phản hồi trong vòng 1 ngày
Chưa có ai nhận issue này.
Đánh giá
- Độ khó
- 3/5
- Thời gian dự kiến
- 1-2 ngày
- Mức phù hợp với người mới
- 35/100
Hướng nghiên cứu
Bắt đầu bằng cách xác định các khai báo dependency log4j-core của WebAPI và kiểm tra phiên bản được resolve so với bản phát hành bị ảnh hưởng 2.14.0. Cập nhật nó lên một phiên bản đã được vá, chẳng hạn như 2.16.0 hoặc cao hơn, sau đó xác minh việc resolve dependency và chạy các bài kiểm thử cũng như kiểm tra bảo mật hiện có của dự án.
Do mô hình lập chỉ mục viết ra từ nội dung của issue.
Mô tả
We have detected a critical security vulnerability (CVE-2021-45046) in Apache Log4j components used by WebAPI. This vulnerability allows attackers to exploit incomplete fixes for CVE-2021-44228 in certain non-default configurations, potentially leading to Remote Code Execution (RCE) and information disclosure.
Details:
- CVE: CVE-2021-45046
- Severity: Critical
- Affected Components: log4j-core versions:
- 2.2 (WEBAPI 2.14.0 uses this version)
- 2.13.3
- 2.14.0
- Exploit Availability: Confirmed
Description:
The fix for CVE-2021-44228 in Log4j 2.15.0 was incomplete. Attackers can manipulate Thread Context Map (MDC) input data when logging configuration uses non-default Pattern Layout with Context Lookup (e.g., $ {ctx:loginId}) or Thread Context Map patterns (%X, %mdc, %MDC). This can result in malicious JNDI lookups, leading to RCE or sensitive data leaks.
Recommended Fix:
- Upgrade to patched versions:
- 2.12.2
- 2.16.0 (or higher)
- Ngôn ngữ chính
- Java
- Star
- 153
- Fork
- 186
- Merge trung bình
- 2 ngày 12 giờ
- Pull request đã merge (30 ngày)
- 13
Chuẩn bị môi trường
- Có Dockerfile hoặc tệp Docker Compose
- Không có mẫu pull request
- Không có hướng dẫn đóng góp
Bắt đầu từ đâu
- Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
- Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
- Fork repository và làm thay đổi trên một nhánh.
- Mở pull request có tham chiếu số hiệu của issue.
Issue khác của OHDSI/WebAPI
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 68/100
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 65/100
Maintainer thường phản hồi trong vòng 1 ngày
-
CDM cache warming still fails when cache.achilles.usePersonCount=false (missing `cc` alias in getBatchConceptRecordCount.sql)Có thể đã có người làm @DG47 đã nhận 2 ngày trước. Đang mở
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 82/100
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 72/100
Maintainer thường phản hồi trong vòng 1 ngày
-
GET /conceptset/{id}/expression returns items in nondeterministic order (query has no ORDER BY)Đang mở
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 67/100
OHDSI/WebAPI#2543 · 3 bình luận ·
Maintainer thường phản hồi trong vòng 1 ngày
Issue tương tự
-
approved
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 67/100
checkstyle/checkstyle#22129 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 78/100
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 80/100
objectionary/lints#1577 ·
Maintainer thường phản hồi trong vòng 2 ngày
-
ChaosEngine: backup-remote doctor row passes while consumer mode hides bot memory from gitCó thể đã có người làm @MohabMohie đã nhận hôm nay. Đang mởagentic
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 76/100
ShaftHQ/SHAFT_ENGINE#7263 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 82/100