La Unidad de Seguridad TIC de la Subdirección de Tecnologías de la Información y Comunicaciones, siguiendo las indicaciones marcadas por el Equipo de Respuesta a Incidentes del Centro Criptológico Nacional, CCN-CERT, informa con fecha de 20 de diciembre de 2021, de una nueva vulnerabilidad crítica que afecta a la librería Apache Log4j 2.
Se trata de una nueva vulnerabilidad con criticidad 9 sobre 10, la CVE-2021-45046, y que afecta a la versión 2.15. Esta versión fue propuesta al inicio de esta semana como actualización para solventar la explotación, sin embargo, existe la versión 2.16 por lo que recomendamos la actualización a esta última.
Neo4j
Sobre la vulnerabilidad inicial de Log4j, al aplicarse el cambio en la configuración se puede ver afectado Neo4j, para mitigar esta acción la configuración de Neo4j debe ser:
dbms.jvm.additional=-Dlog4j2.formatMsgNoLookups=true
dbms.jvm.additional=-Dlog4j2.disable.jmx=true
Más información: https://community.neo4j.com/t/log4j-cve-mitigation-for-neo4j/48856
Más información sobre la vulnerabilidad en la versión 1.x:
[+] http://slf4j.org/log4shell.html
Más información sobre la vulnerabilidad en la versión 2.x:
https://ws001.sspa.juntadeandalucia.es/confluence/x/4QayBQ
Gracias por su atención.
Unidad de Seguridad TIC
Subdirección de Tecnologías de la Información y Comunicaciones
Servicio Andaluz de Salud