Korrigierte Versionen der Bibliothek Log4j 2.17.1, 2.3.2-rc1 und 2.12.4-rc1 wurden veröffentlicht, in denen eine weitere Schwachstelle (CVE-2021-44832) behoben wurde. Es wird darauf hingewiesen, dass das Problem die DurchfĂŒhrung von Remote Code Execution (RCE) ermöglicht, jedoch als nicht gefĂ€hrlich (CVSS Score 6.6) eingestuft ist und hauptsĂ€chlich von theoretischem Interesse ist, da es spezifische Bedingungen fĂŒr seine Ausnutzung erfordert â der Angreifer muss die Möglichkeit haben, Ănderungen an der Konfigurationsdatei von Log4j vorzunehmen, d.h. er muss Zugriff auf das angegriffene System und die Berechtigung haben, den Wert des Konfigurationsparameters log4j2.configurationFile zu Ă€ndern oder Ănderungen an vorhandenen Protokolldateien vorzunehmen.
Der Angriff besteht darin, die Konfiguration eines JDBC Appender auf dem lokalen System zu bestimmen, die auf eine externe JNDI-URI verweist, bei der die RĂŒckgabe einer Java-Klasse zur AusfĂŒhrung möglich ist. StandardmĂ€Ăig ist der JDBC Appender nicht fĂŒr die Verarbeitung anderer Protokolle als Java konfiguriert, d.h. ohne Ănderungen an der Konfiguration ist ein Angriff nicht möglich. DarĂŒber hinaus tritt das Problem nur in der JAR-Datei log4j-core auf und betrifft keine Anwendungen, die die JAR-Datei log4j-api ohne log4j-core verwenden. âŠ
Quelle: opennet.ru
