Kiadásra került a Log4j 2.17.1, 2.3.2-rc1 és 2.12.4-rc1 javító verziója, amelyben egy újabb sebezhetőséget javítottak (CVE-2021-44832). Megemlítésre kerül, hogy a probléma lehetővé teszi a távoli kód végrehajtását (RCE), de nem minősül veszélyesnek (CVSS Score 6.6) és főként csak elméleti érdeklődést kelt, mivel speciális körülményeket igényel a kihasználásához – a támadónak hozzáféréssel kell rendelkeznie a Log4j konfigurációs fájljához, vagyis hozzá kell férnie a megtámadott rendszerhez és jogosultsággal kell rendelkeznie a log4j2.configurationFile konfigurációs paraméter értékének megváltoztatására, vagy a meglévő naplózási beállítások fájlok módosítására.
A támadás célja a helyi rendszer JDBC Appender alapú konfigurációjának meghatározása, amely egy külső JNDI URI-ra hivatkozik, amelynek kérésére egy Java-osztályt lehet visszakapni a végrehajtásra. Alapértelmezés szerint a JDBC Appender nincs konfigurálva olyan protokollok kezelésére, amelyek eltérnek a Javától, tehát a konfiguráció módosítása nélkül a támadás lehetetlen. Ezen kívül a probléma csak a log4j-core JAR fájlban jelentkezik, és nem érinti azokat az alkalmazásokat, amelyek csak a log4j-api JAR fájlt használják a log4j-core nélkül. …
Forrás: opennet.ru
