[KB8190] Уязвимость log4j2 в механизме отчетов (Elasticsearch) ESET Secure Authentication

Проблема

Elasticsearch, используемый в механизме отчетности ESET Secure Authentication (ESA), частично затронут уязвимостью CVE-2021-44228, найденной в библиотеке log4j2

Подробности

Нажмите, чтобы развертнуть

"Поддерживаемые версии Elasticsearch (6.8.9+, 7.8+), используемые с последними версиями JDK (JDK9+), не подвержены удаленному выполнению кода или утечке информации. Это связано с тем, что Elasticsearch использует Java Security Manager. Большинство других версий (5.6.11+, 6.4.0+ и 7.0.0+) можно защитить с помощью простого изменения свойства JVM."

Решение

Пока не будет выпущено исправление ESA для автоматического решения этой проблемы, в своем экземпляре Elasticsearch выполните один из следующих вариантов действий:

установите свойство JVM -Dlog4j2.formatMsgNoLookups=true
или

Удалите JndiLookup.class как в инструкции здесь.

См. пример регулировки на рисунке 1-1 ниже.

Last Updated: 4 мар. 2022 г.