Apache Log4j2 vulnerable to RCE via JDBC Appender when attacker controls configuration

Apache Log4j2 puede ejecutar código arbitrario si un atacante controla el servidor LDAP utilizado por la configuración de logging de la aplicación. Esto sucede mediante la característica JDBC Appender, que no valida adecuadamente los nombres de fuentes de datos.

Log4j2 versiones 2.0-beta7 hasta 2.17.0 son vulnerables a RCE mediante inyección JNDI en configuraciones de JDBC Appender. Cuando se especifica una URI de fuente de datos LDAP y un atacante controla el servidor LDAP objetivo, código malicioso puede ser inyectado y ejecutado. La vulnerabilidad se debe a validación insuficiente de entrada (CWE-20) y neutralización inadecuada de elementos especiales (CWE-74) en nombres de fuentes de datos.