Objavljene su ispravke za biblioteku Log4j 2.17.1, 2.3.2-rc1 i 2.12.4-rc1, u kojima je ispravljena još jedna ranjivost (CVE-2021-44832). Spominje se da problem omogućuje daljinsko izvršavanje koda (RCE), ali je označen kao bezopasan (CVSS Score 6.6) i u osnovi predstavlja samo teoretski interes, jer zahteva specifične uslove za eksploataciju — napadač mora imati mogućnost da izmeni datoteku sa podešavanjima Log4j, tj. mora imati pristup napadanoj sistemu i ovlašćenja da menja vrednost parametra konfiguracije log4j2.configurationFile ili da unosi izmene u postojeće datoteke sa podešavanjima za vođenje loga.
Napad se svodi na utvrđivanje konfiguracije lokalnog sistema zasnovane na JDBC Appender, koja se odnosi na spoljašnji JNDI URI, pri čemu može biti vraćen Java-klasa za izvršavanje. Po defaultu, JDBC Appender nije podešen za obradu protokola osim Java, tj. bez izmene konfiguracije napad nije moguć. Pored toga, problem se javlja samo u JAR datoteci log4j-core i ne utiče na aplikacije koje koriste JAR datoteku log4j-api bez log4j-core. …
Izvor: opennet.ru
