Log4Shell una nuova vulnerabilità

Log4j2 è un framework di logging open source basato su Java.
All’inizio di dicembre 2021 è stata segnalata una vulnerabilità critica (CVE-2021-44228) chiamata Log4Shell che ha ha impatto su Log4j2, che ha portato a diverse correzioni e revisioni del codice da parte del fornitore. Log4shell sfrutta il non controllo dei dati inviati dall’utente di Log4j2 in una particolare situazione.
La libreria Log4j2 è utilizzata in numerosi servizi di framework Apache (non Apache Web Server ma tool come TStruts2, Solr, Druid e Flink); a partire dal 9 dicembre 2021, sono stati rilevati tentativi di sfruttare la vulnerabilità per chi non ha installato aggiornamenti.

Una nuova versione di Log4j 2 pubblicata il 6 dicembre 2021 introduce i nuovi controlli di sicurezza.

Riferimenti:
https://access.redhat.com/security/cve/cve-2021-44228
https://nvd.nist.gov/vuln/detail/CVE-2021-44228