DSA-5020-1 apache-log4j2 -- обновление безопасности

Критичная (9.3)

(AV:N/AC:M/Au:N/C:C/I:C/A:C)

Debian

liblog4j2-java (any) liblog4j2-java-doc (any)

Чэнь Чжаоцзюнь из Alibaba Cloud Security Team обнаружил критическую уязвимость
в Apache Log4j, популярной платформе ведения журнала для Java. Возможности JNDI
используемые в настройке, сообщениях журнала и параметрах не имеют защиты
против злоумышленника, управляющего LDAP и другими связанными с JNDI конечными точками.
Злоумышленник, контролирующий сообщения журнала или параметры сообщений журнала
может выполнить произвольный код, загруженный с LDAP-серверов, если включена возможность
подстановки в поиске сообщений. В версии 2.15.0 это поведение по умолчанию выключено.
Данное обновление также исправляет CVE-2020-9488 в предыдущем стабильном выпуске (buster). Уязвимость представляет собой
неправильную проверку сертификата с несовпадающим именем узла в аппендере Apache Log4j SMTP. Она
позволяет перехватывать SMTPS-соединение при помощи атаки по принципу человек-в-середине,
что может приводить к утечке сообщений журнала, отправленных через аппендер.
В предыдущем стабильном выпуске (buster) эта проблема была исправлена
в версии 2.15.0-1~deb10u1.
В стабильном выпуске (bullseye) эта проблема была исправлена в
версии 2.15.0-1~deb11u1.
Рекомендуется обновить пакеты apache-log4j2.
С подробным статусом поддержки безопасности apache-log4j2 можно ознакомиться на
соответствующей странице отслеживания безопасности по адресу
https://security-tracker.debian.org/tracker/apache-log4j2https://security-tracker.debian.org/tracker/apache-log4j2">https://security-tracker.debian.org/tracker/apache-log4j2 />

Проблема может быть решена обновлением операционной системы до следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 10:
noarch:
liblog4j2-java - 2.15.0-1~deb10u1
liblog4j2-java-doc - 2.15.0-1~deb10u1
Debian GNU/Linux 11:
noarch:
liblog4j2-java - 2.15.0-1~deb11u1

Источник: CVE
Наименование: CVE-2020-9488
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-9488

Источник: CVE
Наименование: CVE-2021-44228
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-44228

https://www.debian.org/security/2021/dsa-5020