Er zijn corrigerende versies van de Log4j-bibliotheek 2.17.1, 2.3.2-rc1 en 2.12.4-rc1 uitgebracht, waarin een andere kwetsbaarheid (CVE-2021-44832) is verholpen. Het wordt vermeld dat het probleem de mogelijkheid biedt voor remote code execution (RCE), maar als ongevaarlijk is gemarkeerd (CVSS Score 6.6) en voornamelijk theoretische interesse heeft, omdat het specifieke voorwaarden vereist voor exploitatie – de aanvaller moet de mogelijkheid hebben om wijzigingen aan te brengen in het configuratiebestand van Log4j, dat wil zeggen dat hij toegang moet hebben tot het aangevallen systeem en bevoegdheden moet hebben om de waarde van de configuratieparameter log4j2.configurationFile te wijzigen of wijzigingen aan te brengen in bestaande loginstellingen.
De aanval is gericht op het bepalen van de configuratie van de lokale JDBC Appender, die naar een externe JNDI URI verwijst. Bij een verzoek kan een Java-klasse worden teruggegeven voor uitvoering. Standaard is de JDBC Appender niet geconfigureerd om protocollen anders dan Java te verwerken, wat betekent dat zonder wijziging van de configuratie de aanval niet mogelijk is. Bovendien doet het probleem zich uitsluitend voor in het log4j-core JAR-bestand en heeft het geen impact op applicaties die het log4j-api JAR-bestand zonder log4j-core gebruiken. …
Bron: opennet.ru
