Log4j ဒစ်ဂျစ်တိုက် 2.17.1၊ 2.3.2-rc1 နှင့် 2.12.4-rc1 ၏ မှန်ကန်သော ထုတ်ဝေမှုများကို ထုတ်ဝေခဲ့ပြီး၊ အခြားအားနည်းချက် (CVE-2021-44832) ကို ပြုပြင်ပေးပါသည်။ ပြဿနာသည် အဝေးထိန်းကုဒ် အကောင်အထည်ဖော်မှု (RCE) ကို ခွင့်ပြုသော်လည်း အန္တရာယ်မရှိသော (CVSS Score 6.6) အဖြစ် အမှတ်အသားပြုထားပြီး အဓိကအားဖြင့် သီအိုရီအရ အမြတ်ထုတ်ခြင်းအတွက် သီးခြားအခြေအနေများ လိုအပ်သောကြောင့် - တိုက်ခိုက်သူသည် Log4j ဆက်တင်ဖိုင်သို့ အပြောင်းအလဲပြုလုပ်နိုင်ရမည်၊ ဆိုလိုသည်မှာ တိုက်ခိုက်ခံရသောစနစ်သို့ ဝင်ရောက်ခွင့်ရှိပြီး parajFi မီတာ၏ conguration တန်ဖိုးကို ပြောင်းလဲရန် အခွင့်အာဏာရှိရပါမည်။ မှတ်တမ်းဆက်တင်များဖြင့် ရှိပြီးသားဖိုင်များ။
တိုက်ခိုက်မှုသည် ပြင်ပ JNDI URI ကိုရည်ညွှန်းသည့် JDBC Appender ကိုအခြေခံ၍ ဒေသဆိုင်ရာစနစ်ဖွဲ့စည်းပုံသတ်မှတ်ခြင်းတွင် အကျုံးဝင်သည်။ စုံစမ်းမေးမြန်းသည့်အခါ၊ ကွပ်မျက်ရန်အတွက် Java အတန်းကို ပြန်ပေးနိုင်သည်။ ပုံမှန်အားဖြင့်၊ JDBC Appender သည် Java မှလွဲ၍ အခြား protocols များကို ကိုင်တွယ်ရန် configure မပြုပါ၊ ဆိုလိုသည်မှာ configuration ကိုမပြောင်းလဲဘဲ တိုက်ခိုက်ရန် မဖြစ်နိုင်ပါ။ ထို့အပြင်၊ ပြဿနာသည် log4j-core JAR ကိုသာအကျိုးသက်ရောက်ပြီး log4j-core မပါဘဲ log4j-api JAR ကိုအသုံးပြုသည့် application များကိုမထိခိုက်စေပါ။ …
source: opennet.ru
