Apache Log4j ranljivost

V programski knjižnici Java logging library Log4j je bila nekaj dni nazaj odkrita kritična ranljivost, ki nosi oznako CVE-2021-44228, Ta napadalcem omogoča izvajanje poljubne zlonamerne kode (RCE – Remote Code Execution).

Log4j je zelo razširjena programska knjižnica, ki jo uporablja veliko število Java aplikacij. Ranljive so tako strežniške aplikacije kot odjemalci. Posebej opozarjamo, da so lahko ranljive tudi aplikacije, ki niso javno dostopne, vendar pa procesirajo podatke iz javno dostopnih virov (npr. obdelovanje dnevniških zapisov).

Podroben opis ranljivosti in priporočljivi ukrepi so objavljeni na spletni strani SI-CERT-a na povezavi https://www.cert.si/si-cert-2021-06/

VIR: SI-CERT

Ena od storitev, pri katerih je bilo treba preveriti vpliv ranljivosti, je bil tudi Apache Solr™, ki se lahko uporablja za indeksiranje in hitrejše iskanje po IMAP nabiralnikih. Ponudniki, ki so uporabljali ranljive različice, so morali storitev začasno izklopiti ali jo čim prej posodobiti. Izklop takšne funkcije praviloma ne onemogoči IMAP pošte, lahko pa začasno upočasni iskanje po večjih poštnih predalih.