Boli zverejnené opravy knižnice Log4j 2.17.1, 2.3.2-rc1 a 2.12.4-rc1, v ktorých bola odstránená ďalšia zraniteľnosť (CVE-2021-44832). Uvádza sa, že problém umožňuje zabezpečiť vzdialené vykonávanie kódu (RCE), ale je označený ako nebezpečný (CVSS Score 6.6) a predstavuje najmä teoretický záujem, pretože vyžaduje špecifické podmienky na vykonanie — útočník musí mať možnosť zmeniť súbor s nastaveniami Log4j, teda musí mať prístup k napadnutej sústave a oprávnenie na zmenu hodnoty parametra konfiguračného súboru log4j2.configurationFile alebo na vykonávanie zmien v existujúcich súboroch s nastaveniami pre vedenie logov.
Útok spočíva v určení konfigurácie na lokálnom systéme na báze JDBC Appender, ktorá odkazuje na externý JNDI URI, pri požiadavke ktorého môže byť vrátený Java trieda na vykonanie. Predvolene nie je JDBC Appender nastavený na spracovanie protokolov odlišných od Java, teda bez zmeny konfigurácie je útok nemožný. Okrem toho sa problém vyskytuje iba v súbore JAR log4j-core a netýka sa aplikácií, ktoré používajú súbor JAR log4j-api bez log4j-core. …
Zdroj: opennet.ru
