Log4j kutubxonasining 2.17.1, 2.3.2-rc1 va 2.12.4-rc1 tuzatuvchi relizlari chop etildi, ular boshqa zaiflikni tuzatadi (CVE-2021-44832). Ta'kidlanishicha, muammo masofaviy kodni (RCE) amalga oshirishga imkon beradi, lekin yaxshi deb belgilangan (CVSS Score 6.6) va asosan faqat nazariy qiziqish uyg'otadi, chunki u ekspluatatsiya qilish uchun muayyan shartlarni talab qiladi - buzg'unchi o'zgartirish kiritish imkoniyatiga ega bo'lishi kerak. sozlamalar fayli Log4j, ya'ni. hujumga uchragan tizimga kirish va log4j2.configurationFile konfiguratsiya parametri qiymatini oʻzgartirish yoki roʻyxatga olish sozlamalari bilan mavjud fayllarga oʻzgartirishlar kiritish huquqiga ega boʻlishi kerak.
Hujum mahalliy tizimda tashqi JNDI URI ga ishora qiluvchi JDBC Appender-ga asoslangan konfiguratsiyani aniqlashdan iborat bo'lib, uning so'roviga ko'ra Java klassi bajarilishi uchun qaytarilishi mumkin. Odatiy bo'lib, JDBC Appender Java bo'lmagan protokollarni boshqarish uchun sozlanmagan, ya'ni. Konfiguratsiyani o'zgartirmasdan hujum qilish mumkin emas. Bundan tashqari, muammo faqat log4j-yadroli JAR-ga ta'sir qiladi va log4j-yadrosiz log4j-api JAR-dan foydalanadigan ilovalarga ta'sir qilmaydi. ...
Manba: opennet.ru