CVE-2021-4104

Log4j versão 1.2

O problema está relacionado ao JMSAppender no Log4j 1.2, que é vulnerável à desserialização de dados não confiáveis. Um invasor com acesso de gravação à configuração do Log4j pode fornecer as configurações TopicBindingName e TopicConnectionFactoryBindingName, fazendo com que o JMSAppender execute solicitações JNDI que resultam na execução remota de código. Este problema afeta apenas o Log4j 1.2 quando configurado especificamente para usar o JMSAppender, o que não é o padrão. O Apache Log4j 1.2 chegou ao fim de vida útil em agosto de 2015.

Para a versão 1.2 do Log4j, atualize para o Log4j 2, pois ele corrige inúmeras outras vulnerabilidades das versões anteriores. Como solução temporária, considere desativar o JMSAppender até que um patch esteja disponível. Restrinja o acesso à configuração do JMSAppender para minimizar o risco de exploração. Evite usar as configurações TopicBindingName e TopicConnectionFactoryBindingName na configuração afetada do Log4j até que o problema seja resolvido.