Уязвимость CVE-2022-23302 - Документация Инкоманд

JMSSink во всех версиях Log4j 1.x подвержен десериализации ненадёжных данных, если злоумышленник имеет доступ на запись к конфигурации Log4j или если конфигурация ссылается на службу LDAP, к которой у злоумышленника есть доступ. Злоумышленник может предоставить конфигурацию TopicConnectionFactoryBindingName, которая заставит JMSSink выполнять запросы JNDI, что приведёт к удалённому выполнению кода аналогично CVE-2021-4104.

Обратите внимание, что эта проблема затрагивает только Log4j 1.x, если он настроен на использование JMSSink, что не является настройкой по умолчанию. Поддержка Apache Log4j 1.2 прекращена в августе 2015 года. Пользователям следует перейти на Log4j 2, так как в нём устранены многие другие проблемы предыдущих версий.

Данная уязвимость устранена в релизе Инкоманд 7.3.5.1.