Apache Log4j 2.17.1, 2.12.4 a 2.3.2 řeší bezpečnostní chybu CVE-2021-44832

Aktuální série bezpečnostních chyb ve službě pro logování Apache Log4j 2 pokračuje bezpečnostní chybou CVE-2021-44832. Opravena je v upstream verzích 2.17.1 (Java 8), 2.12.4 (Java 7) a 2.3.2 (Java 6).

28.12.2021 23:22 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[Jendа]

Patch účinný týden, to je horší jak ten omyl na idnes

[vencour]

Ok, abych se na to taky podíval blíž ...

[I] dev-java/log4j
     Available versions:  1.2.17-r3 {doc javamail jms source ELIBC="FreeBSD"}
     Installed versions:  1.2.17-r3(18:55:56 21.12.2016)(-doc -javamail -jms -source ELIBC="-FreeBSD")
     Homepage:            http://logging.apache.org/log4j/
     Description:         A low-overhead robust logging package for Java

Tohle potřebuje libreoffice, sice nepřímo (přes bsh) ... a že se mne to taky netýká.

[Peter Golis]

Výrobca tvrdí, že verzia 1.2 je nepodporovaná od roku 2015.

[billgates]

Vyrobcovia toho nakecaju :)

[Peter Golis]

Takže on už niekto opravil CVE-2019-17571? Meh, predajcovia toho nakecajú.

[Petr]

Ano, Golis toho nakecá...

[.]

Bash umí spouštět libovolné příkazy. Útočník s možností změnit mi .bashrc toho může zneužít. Mám požádat o CVE?