ការធ្វើបច្ចុប្បន្នភាព Log4j 2.17.1 ជាមួយនឹងភាពងាយរងគ្រោះមួយផ្សេងទៀតត្រូវបានជួសជុល

ការចេញផ្សាយការកែតម្រូវនៃបណ្ណាល័យ Log4j 2.17.1, 2.3.2-rc1 និង 2.12.4-rc1 ត្រូវបានបោះពុម្ព ដែលជួសជុលភាពងាយរងគ្រោះផ្សេងទៀត (CVE-2021-44832) ។ វាត្រូវបានលើកឡើងថាបញ្ហាអនុញ្ញាតឱ្យដំណើរការកូដពីចម្ងាយ (RCE) ប៉ុន្តែត្រូវបានសម្គាល់ថាមានលក្ខណៈស្លូតបូត (CVSS Score 6.6) ហើយជាចម្បងនៃការចាប់អារម្មណ៍លើទ្រឹស្តីប៉ុណ្ណោះ ព្រោះវាទាមទារលក្ខខណ្ឌជាក់លាក់សម្រាប់ការកេងប្រវ័ញ្ច - អ្នកវាយប្រហារត្រូវតែអាចធ្វើការផ្លាស់ប្តូរ ឯកសារការកំណត់ Log4j, i.e. ត្រូវតែមានសិទ្ធិចូលប្រើប្រព័ន្ធដែលត្រូវបានវាយប្រហារ និងសិទ្ធិអំណាចក្នុងការផ្លាស់ប្តូរតម្លៃនៃប៉ារ៉ាម៉ែត្រកំណត់រចនាសម្ព័ន្ធ log4j2.configurationFile ឬធ្វើការផ្លាស់ប្តូរឯកសារដែលមានស្រាប់ជាមួយនឹងការកំណត់កំណត់ហេតុ។

ការវាយប្រហារឈានដល់ការកំណត់រចនាសម្ព័ន្ធ JDBC Appender-based នៅលើប្រព័ន្ធមូលដ្ឋានដែលសំដៅលើ JNDI URI ខាងក្រៅតាមការស្នើសុំដែល Java class អាចត្រលប់មកវិញសម្រាប់ការប្រតិបត្តិ។ តាមលំនាំដើម JDBC Appender មិនត្រូវបានកំណត់រចនាសម្ព័ន្ធដើម្បីគ្រប់គ្រងពិធីការដែលមិនមែនជា Java ទេ ពោលគឺឧ។ បើគ្មានការផ្លាស់ប្តូរការកំណត់ទេ ការវាយប្រហារគឺមិនអាចទៅរួចទេ។ លើសពីនេះ បញ្ហាប៉ះពាល់តែទៅលើ log4j-core JAR ប៉ុណ្ណោះ និងមិនប៉ះពាល់ដល់កម្មវិធីដែលប្រើ log4j-api JAR ដោយគ្មាន log4j-core ទេ។ ...

ប្រភព: opennet.ru