Log4j 2.17.1 अपडेट दुसर्‍या असुरक्षिततेसह

Log4j लायब्ररी 2.17.1, 2.3.2-rc1 आणि 2.12.4-rc1 चे सुधारात्मक प्रकाशन प्रकाशित केले गेले आहेत, जे आणखी एक असुरक्षा (CVE-2021-44832) दूर करतात. असे नमूद केले आहे की समस्या रिमोट कोड एक्झिक्यूशन (RCE) ला परवानगी देते, परंतु सौम्य (CVSS स्कोअर 6.6) म्हणून चिन्हांकित आहे आणि मुख्यतः केवळ सैद्धांतिक स्वारस्य आहे, कारण यासाठी शोषणासाठी विशिष्ट परिस्थिती आवश्यक आहे - हल्लेखोर बदल करण्यास सक्षम असणे आवश्यक आहे सेटिंग्ज फाइल Log4j, म्हणजे आक्रमण केलेल्या सिस्टममध्ये प्रवेश असणे आवश्यक आहे आणि log4j2.configurationFile कॉन्फिगरेशन पॅरामीटरचे मूल्य बदलण्यासाठी किंवा लॉगिंग सेटिंग्जसह विद्यमान फाइल्समध्ये बदल करण्यासाठी अधिकार असणे आवश्यक आहे.

स्थानिक प्रणालीवर जेडीबीसी परिशिष्ट-आधारित कॉन्फिगरेशन परिभाषित करण्यासाठी हा हल्ला बाहेरील जेएनडीआय यूआरआयचा संदर्भ देते, ज्याच्या विनंतीनुसार अंमलबजावणीसाठी Java वर्ग परत केला जाऊ शकतो. डीफॉल्टनुसार, नॉन-जावा प्रोटोकॉल हाताळण्यासाठी जेडीबीसी परिशिष्ट कॉन्फिगर केलेले नाही, उदा. कॉन्फिगरेशन बदलल्याशिवाय, हल्ला करणे अशक्य आहे. याव्यतिरिक्त, समस्या फक्त log4j-core JAR ला प्रभावित करते आणि log4j-core शिवाय log4j-api JAR वापरणार्‍या अनुप्रयोगांवर परिणाम करत नाही. ...

स्त्रोत: opennet.ru