È stata rilevata una vulnerabilità critica nello strumento Log4j 2 ampiamente utilizzato, utilizzato per registrare le applicazioni Java. Il National Civil Service Center prevede un codice di sfruttamento e abuso a breve termine, che potrebbe colpire migliaia di organizzazioni.

La vulnerabilità nello strumento open source Apache Log4j 2 consente a individui non autenticati di iniettare ed eseguire codice arbitrario con privilegi di server Web remoti. Il Java Log Tool è utilizzato da molte organizzazioni per servizi cloud e applicazioni aziendali, tra le altre cose. Le configurazioni predefinite dei progetti Apache Apache Struts2, Solr, Druid e Flink sono a rischio a causa del problema Log4j 2.

La vulnerabilità è stata classificata CVE-2021-44228 È anche conosciuto come Log4Shell o LogJam. Secondo il NCSC, ci sono Codice di prova del concetto ora Questa vulnerabilità è stata pubblicata e l’organizzazione prevede di rilasciare presto codice di exploit e abuso. Secondo il team di risposta alle emergenze informatiche della Nuova Zelanda, L’abuso è già attivo fatto di.

Le versioni da Log4j 2.0-beta9 a 2.14.1 sono deboli. Apache ha rilasciato aggiornamenti per correggere la vulnerabilità, versione 2.15.0 Il problema è risolto?. Le patch del codice sorgente sono disponibili da file Pagina Github per il progetto Log4j. In alternativa, gli amministratori possono impostare la direttiva “log4j2.formatMsgNoLookups” su true aggiungendo ‐Dlog4j2.formatMsgNoLookups = True” al comando JVM che esegue lo strumento.