Log4Shell: CVE-2021-44228 in Apache Log4j
Codeausführung über eine einzige Logmeldung in Apache Log4j 2, bewertet mit CVSS 10.0.
In der NVD veröffentlicht am 10.12.2021
CVE-2021-44228
Seit dem 10.12.2021 im CISA-Katalog aktiv ausgenutzter Lücken
Ausnutzungswahrscheinlichkeit (EPSS, 01.11.2026): 99,999 %, Perzentil 100,000
Was ist Log4Shell?
Log4Shell ist eine Lücke in Apache Log4j 2. JNDI-Lookups in der Konfiguration, in Logmeldungen und in Parametern waren nicht gegen LDAP- und andere JNDI-Endpunkte geschützt, die ein Angreifer kontrolliert. Wer eine Logmeldung oder einen ihrer Parameter bestimmen kann, bringt die Anwendung dazu, Code von einem LDAP-Server zu laden und auszuführen, solange die Ersetzung von Message-Lookups aktiv ist.
Die NVD bewertet sie mit CVSS 10.0, und CISA führt sie seit dem 10. Dezember 2021 als aktiv ausgenutzt. Log4j steckt in vielen Java-Anwendungen, oft als Abhängigkeit einer Abhängigkeit.
Betroffene und behobene Versionen
Apache Log4j 2
Betroffen: 2.13.0 - 2.14.1
Behoben in 2.15.0
Apache Log4j 2
Betroffen: 2.4.0 - 2.12.1
Behoben in 2.12.2
Apache Log4j 2
Betroffen: 2.0-beta9 - 2.3.0
Behoben in 2.3.1
Stand in Debian und Ubuntu
Debian 12: apache-log4j2
Behoben ab Paketversion 2.15.0-1
Debian 13: apache-log4j2
Behoben ab Paketversion 2.15.0-1
Ubuntu 18.04 LTS: apache-log4j2
Behoben ab Paketversion 2.10.0-2ubuntu0.1
Ubuntu 20.04 LTS: apache-log4j2
Behoben ab Paketversion 2.15.0-0.20.04.1
Was tun?
Aktualisiere Log4j 2 auf 2.15.0 oder neuer, im Zweig 2.12 auf 2.12.2 und im Zweig 2.3 auf 2.3.1. Ab 2.16.0 sowie in 2.12.2, 2.12.3 und 2.3.1 ist die Funktion vollständig entfernt. Prüf auch die Log4j-Versionen, die deine Java-Anwendungen mitbringen.
Erseni Patch meldet dir, wenn eine neue Lücke genau deine Version betrifft und wenn dein Release-Zweig keinen Support mehr bekommt. Trag das Programm oder Paket mit deiner Version ein, dann prüfen wir sie sofort.
Du hast schon ein Konto? Anmelden und Apache Log4j eintragen
Quellen
- NVD CVE-2021-44228
- CISA KEV CVE-2021-44228
- Debian Security Tracker CVE-2021-44228
- OSV UBUNTU-CVE-2021-44228
- FIRST EPSS
Angaben am 02.11.2026 gegen NVD, CISA KEV, FIRST EPSS, den Debian Security Tracker und OSV geprüft.
Weitere bekannte Lücken
- PHP2Shell (CVE-2026-109618, CVE-2026-109619)
- regreSSHion (CVE-2024-6387)
- XZ Backdoor (CVE-2024-3094)
- Heartbleed (CVE-2014-0160)
- Shellshock (CVE-2014-6271)