Актуализация на Log4j 2.17.1 с коригирана друга уязвимост

Публикувани са коригиращи версии на библиотеката Log4j 2.17.1, 2.3.2-rc1 и 2.12.4-rc1, които коригират друга уязвимост (CVE-2021-44832). Споменава се, че проблемът позволява дистанционно изпълнение на код (RCE), но е маркиран като безобиден (CVSS Score 6.6) и представлява предимно теоретичен интерес, тъй като изисква специфични условия за експлоатация - атакуващият трябва да може да прави промени в файла с настройки Log4j, т.е. трябва да има достъп до атакуваната система и правомощия да променя стойността на конфигурационния параметър log4j2.configurationFile или да прави промени в съществуващи файлове с настройки за регистриране.

Атаката се свежда до дефиниране на базирана на JDBC Appender конфигурация в локалната система, която препраща към външен JNDI URI, при поискване от който Java клас може да бъде върнат за изпълнение. По подразбиране JDBC Appender не е конфигуриран да обработва различни от Java протоколи, т.е. Без промяна на конфигурацията атаката е невъзможна. Освен това проблемът засяга само log4j-core JAR и не засяга приложения, които използват log4j-api JAR без log4j-core. ...

Източник: opennet.ru