Log4j 2.17.1 আপডেট অন্য একটি দুর্বলতা সংশোধন করা হয়েছে৷

Log4j লাইব্রেরি 2.17.1, 2.3.2-rc1 এবং 2.12.4-rc1 এর সংশোধনমূলক রিলিজ প্রকাশিত হয়েছে, যা অন্য একটি দুর্বলতা (CVE-2021-44832) ঠিক করে। এটি উল্লেখ করা হয়েছে যে সমস্যাটি রিমোট কোড এক্সিকিউশন (RCE) এর জন্য অনুমতি দেয়, তবে এটি সৌম্য হিসাবে চিহ্নিত (CVSS স্কোর 6.6) এবং এটি প্রধানত শুধুমাত্র তাত্ত্বিক স্বার্থের, যেহেতু এটি শোষণের জন্য নির্দিষ্ট শর্তগুলির প্রয়োজন - আক্রমণকারীকে অবশ্যই পরিবর্তন করতে সক্ষম হতে হবে সেটিংস ফাইল Log4j, যেমন আক্রমণকৃত সিস্টেমে অ্যাক্সেস থাকতে হবে এবং log4j2.configurationFile কনফিগারেশন প্যারামিটারের মান পরিবর্তন করতে বা লগিং সেটিংস সহ বিদ্যমান ফাইলগুলিতে পরিবর্তন করতে হবে।

আক্রমণটি স্থানীয় সিস্টেমে একটি JDBC অ্যাপেন্ডার-ভিত্তিক কনফিগারেশনকে সংজ্ঞায়িত করার জন্য ফুটে ওঠে যা একটি বাহ্যিক JNDI URI-কে বোঝায়, যার অনুরোধে একটি জাভা ক্লাস সম্পাদনের জন্য ফেরত দেওয়া যেতে পারে। ডিফল্টরূপে, JDBC অ্যাপেন্ডার নন-জাভা প্রোটোকল পরিচালনা করার জন্য কনফিগার করা হয় না, যেমন কনফিগারেশন পরিবর্তন ছাড়া, আক্রমণ অসম্ভব। উপরন্তু, সমস্যাটি শুধুমাত্র log4j-core JAR-কে প্রভাবিত করে এবং log4j-core ছাড়া log4j-api JAR ব্যবহার করে এমন অ্যাপ্লিকেশনগুলিকে প্রভাবিত করে না। ...

উত্স: opennet.ru