Уязвимость CVE-2022-23305 - Документация Инкоманд

По умолчанию JDBCAppender в Log4j 1.2.x принимает оператор SQL в качестве параметра конфигурации, где значения, которые нужно вставить, являются преобразователями из PatternLayout. Преобразователь сообщений %m, скорее всего, всегда будет включен. Это позволяет злоумышленникам манипулировать SQL, вводя специальные строки в поля ввода или заголовки приложения, которые регистрируются, что приводит к выполнению непреднамеренных SQL-запросов.

Обратите внимание, что эта проблема затрагивает только Log4j 1.x, если он специально настроен на использование JDBCAppender, что не является настройкой по умолчанию. Начиная с версии 2.0-beta8, JDBCAppender был повторно представлен с надлежащей поддержкой параметризованных SQL-запросов и возможностью дальнейшей настройки столбцов, в которые записываются журналы. Поддержка Apache Log4j 1.2 прекращена в августе 2015 года. Пользователям следует перейти на Log4j 2, так как в нём устранены многие другие проблемы предыдущих версий.

Данная уязвимость устранена в релизе Инкоманд 7.3.5.1.