Nieuw beveiligingslek in Log4j maakt remote code execution mogelijk

[Captain Kirk]

Er is een nieuwe kwetsbaarheid in Log4j gevonden waardoor in bepaalde gevallen remote code execution (RCE) mogelijk is. De Apache Software Foundation heeft vanavond een beveiligingsupdate uitgebracht (Log4j 2.17.1) om het probleem, aangeduid als CVE-2021-44832, te verhelpen. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 6.6.

Het beveiligingslek is aanwezig in Log4j2 versies 2.0-beta7 tot en met 2.17.0 (op versies 2.3.2 en 2.12.4 na) en doet zich voor wanneer een aanvaller het logging-configuratiebestand kan aanpassen en vervolgens een malafide configuratie kan aanmaken waarbij er wordt verwezen naar een Java Naming and Directory Interface (JNDI) URI die code uitvoert. Doordat een aanvaller het configuratiebestand moet kunnen aanpassen is de impact van de kwetsbaarheid lager beoordeeld dan eerdere RCE-kwetsbaarheden in Log4j.

Beheerders wordt aangeraden om te updaten naar Log4j 2.3.2 (voor Java 6), 2.12.4 (voor Java 7) of 2.17.1 (voor Java 8 en nieuwer).

 

bron: https://www.security.nl