Byly vydány opravy knihovny Log4j 2.17.1, 2.3.2-rc1 a 2.12.4-rc1, ve kterých byla odstraněna další zranitelnost (CVE-2021-44832). Uvádí se, že problém umožňuje vzdálené spuštění kódu (RCE), ale je označen jako nízkohazardní (CVSS Score 6.6) a představuje převážně teoretický zájem, protože vyžaduje specifické podmínky pro zneužití – útočník musí mít možnost provést změnu v konfiguračním souboru Log4j, tedy musí mít přístup k napadenému systému a oprávnění měnit hodnotu parametru log4j2.configurationFile nebo provádět změny v existujících konfiguračních souborech pro logování.
Útok spočívá v určení konfigurace na místním systému vycházející ze JDBC Appendera, který odkazuje na externí JNDI URI, přižádání kterého může vrátit Java třídu k vykonání. Ve výchozím nastavení není JDBC Appender nakonfigurován pro zpracování protokolů jiných než Java, tedy bez změny konfigurace je útok nemožný. Kromě toho se problém projevuje pouze v JAR souboru log4j-core a netýká se aplikací, které použijí JAR soubor log4j-api bez log4j-core. …
Zdroj: opennet.ru
