Objavljene so popravljene različice knjižnice Log4j 2.17.1, 2.3.2-rc1 in 2.12.4-rc1, ki odpravlja še eno ranljivost (CVE-2021-44832). Omenjeno je, da težava omogoča oddaljeno izvajanje kode (RCE), vendar je označena kot nizko tvegana (CVSS Score 6.6) in predstavlja predvsem teoretični interes, saj zahteva specifične pogoje za izkoriščanje — napadalec mora imeti zmožnost spreminjati datoteko s konfiguracijo Log4j, kar pomeni, da mora imeti dostop do napadene naprave in pooblastila za spreminjanje vrednosti parametra konfigurationsFile ali za spreminjanje obstoječih datotek s konfiguracijo za beleženje.
Napad se zmanjša na določitev konfiguracije na lokalnem sistemu, ki temelji na JDBC Appender, ki se sklicuje na zunanji JNDI URI, pri zahtevi za katerega lahko vrne Java razred za izvajanje. Privzeto JDBC Appender ni nastavljen za obdelavo protokolov, razen Java, torej brez spremembe konfiguracije napad ni mogoč. Poleg tega se težava pojavi le v JAR datoteki log4j-core in ne vpliva na aplikacije, ki uporabljajo JAR datoteko log4j-api brez log4j-core. …
Izvor: opennet.ru
