Grave vulnerabilidade no Apache Log4j 2 pode afetar milhares de organizações
Uma vulnerabilidade séria foi encontrada na ferramenta Log4j 2 amplamente usada, que é usada para registrar aplicativos Java. O NCSC espera explorar códigos e abusos em curto prazo, o que pode afetar milhares de organizações.
A vulnerabilidade na ferramenta de código aberto Apache Log4j 2 possibilita que pessoas não autenticadas injetem e executem remotamente código arbitrário com privilégios de servidor web. A ferramenta de registro Java é usada por muitas organizações para serviços em nuvem e aplicativos corporativos, entre outras coisas. As configurações padrão dos projetos Apache Apache Struts2, Solr, Druid e Flink são vulneráveis ​​devido ao problema Log4j 2.
A vulnerabilidade foi designada CVE-2021-44228 e também é conhecida como Log4Shell ou LogJam. De acordo com o NCSC, o código de prova de conceito foi publicado para esta vulnerabilidade e a organização espera que o código de exploração e abuso seja lançado em curto prazo. De acordo com a Equipe de Resposta a Emergências de Computadores da Nova Zelândia, ele já está sendo explorado ativamente.
As versões de Log4j 2.0-beta9 a 2.14.1 são vulneráveis. O Apache lançou atualizações para corrigir a vulnerabilidade e a versão 2.15.0 resolveu o problema . Os patches do código-fonte estão disponíveis na página Github do projeto Log4j . Como solução alternativa, os administradores podem definir a diretiva 'log4j2.formatMsgNoLookups' como 'true' adicionando ‐Dlog4j2.formatMsgNoLookups = True "ao comando JVM que inicia a ferramenta.