Log4j 2.17.1 uppdaterad för att åtgärda ytterligare en sårbarhet

Korrigerande versioner av Log4j-biblioteket 2.17.1, 2.3.2-rc1 och 2.12.4-rc1 har publicerats, där en annan sårbarhet (CVE-2021-44832) har åtgärdats. Problemet nämns möjliggör fjärrkodexekvering (RCE), men har bedömts som icke-farlig (CVSS Score 6.6) och utgör främst ett teoretiskt intresse, eftersom det kräver specifika förhållanden för att utnyttjas — angriparen måste ha möjlighet att ändra en konfigurationsfil för Log4j, det vill säga de måste ha åtkomst till det attackerade systemet och befogenhet att ändra värdet på konfigurationsparametern log4j2.configurationFile eller göra ändringar i befintliga loggkonfigurationsfiler.

Attacken består av att definiera konfigurationen på det lokala systemet baserat på JDBC Appender, som refererar till en extern JNDI URI, vars förfrågan kan återlämna en Java-klass för exekvering. Som standard är JDBC Appender inte konfigurerad för att hantera protokoll som skiljer sig från Java, det vill säga utan konfigurationsändring är attacken omöjlig. Dessutom uppstår problemet endast i JAR-filen log4j-core och berör inte applikationer som använder JAR-filen log4j-api utan log4j-core. …

Källa: opennet.ru