एक अन्य भेद्यता को ठीक करने के साथ Log4j 2.17.1 अद्यतन

Log4j लाइब्रेरी 2.17.1, 2.3.2-rc1 और 2.12.4-rc1 की सुधारात्मक रिलीज़ प्रकाशित की गई हैं, जो एक और भेद्यता (CVE-2021-44832) को ठीक करती हैं। यह उल्लेख किया गया है कि समस्या रिमोट कोड निष्पादन (आरसीई) की अनुमति देती है, लेकिन इसे सौम्य (सीवीएसएस स्कोर 6.6) के रूप में चिह्नित किया गया है और यह मुख्य रूप से केवल सैद्धांतिक रुचि का है, क्योंकि इसमें शोषण के लिए विशिष्ट परिस्थितियों की आवश्यकता होती है - हमलावर को परिवर्तन करने में सक्षम होना चाहिए सेटिंग्स फ़ाइल Log4j, यानी हमलावर सिस्टम तक पहुंच होनी चाहिए और log4j2.configurationFile कॉन्फ़िगरेशन पैरामीटर के मान को बदलने या लॉगिंग सेटिंग्स के साथ मौजूदा फ़ाइलों में बदलाव करने का अधिकार होना चाहिए।

यह हमला स्थानीय सिस्टम पर जेडीबीसी एपेंडर-आधारित कॉन्फ़िगरेशन को परिभाषित करने के लिए उबलता है जो बाहरी जेएनडीआई यूआरआई को संदर्भित करता है, जिसके अनुरोध पर निष्पादन के लिए जावा क्लास वापस किया जा सकता है। डिफ़ॉल्ट रूप से, JDBC Appender को गैर-जावा प्रोटोकॉल को संभालने के लिए कॉन्फ़िगर नहीं किया गया है, अर्थात। कॉन्फ़िगरेशन बदले बिना हमला असंभव है. इसके अतिरिक्त, समस्या केवल log4j-कोर JAR को प्रभावित करती है और उन अनुप्रयोगों को प्रभावित नहीं करती है जो log4j-core के बिना log4j-api JAR का उपयोग करते हैं। ...

स्रोत: opennet.ru