Der er udgivet rettelsesudgivelser af Log4j-biblioteket 2.17.1, 2.3.2-rc1 og 2.12.4-rc1, hvor endnu en sårbarhed (CVE-2021-44832) er blevet udbedret. Det nævnes, at problemet muliggør fjernudførelse af kode (RCE), men det er markeret som ikke-farligt (CVSS Score 6.6) og repræsenterer primært kun teoretisk interesse, da det kræver specifikke betingelser for at udnytte - angriberen skal have mulighed for at ændre konfigurationsfilen for Log4j, dvs. have adgang til det angrebne system og beføjelser til at ændre værdien af konfigurationsparameteren log4j2.configurationFile eller foretage ændringer i eksisterende logfil-indstillingsfiler.
Angrebet går ud på at identificere konfigurationen på den lokale system baseret på JDBC Appender, som henviser til en ekstern JNDI URI, hvor forespørgslen kan returnere en Java-klasse til udførelse. Som standard er JDBC Appender ikke indstillet til at håndtere protokoller, der adskiller sig fra Java, dvs. uden ændring af konfigurationen er angrebet umuligt. Desuden manifesterer problemet sig kun i JAR-filen log4j-core og påvirker ikke applikationer, der bruger JAR-filen log4j-api uden log4j-core. …
Kilde: opennet.ru
