Using JMSAppender in log4j configuration may lead to deserialization of untrusted data
Impact
ClickHouse JDBC Bridge uses slf4j-log4j12 1.7.32, which depends on log4j 1.2.17. It allows a remote attacker to execute code on the server, if you changed default log4j configuration by adding JMSAppender and an insecure JMS broker.
Patches
The patch version 2.0.7 removed log4j dependency by replacing slf4j-log4j12 to slf4j-jdk14. Logging configuration is also changed from log4j.properties to logging.properties.
Workarounds
- Do NOT change log4j configuration to use JMSAppender along with insecure JMS broker
- Alternatively, you can issue below command to remove
JMSAppender.class:
# install zip command if you don't have
apt-get update && apt-get install -y zip
# remove the class
zip -d clickhouse-jdbc-bridge*.jar ru/yandex/clickhouse/jdbcbridge/internal/log4j/net/JMSAppender.classReferences
Please refer to CVE-2021-4104 to read more.
For more information
If you have any questions or comments about this advisory, please feel free to open an issue in the repository.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Java / Kotlin (Maven) | ru.yandex.clickhouse:clickhouse-jdbc-bridge | < 2.0.7 | 2.0.7 |
Referencias
- Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H- Debilidad (CWE)
CWE-502- Plataforma
- Java / Kotlin (Maven)
- Paquete
ru.yandex.clickhouse:clickhouse-jdbc-bridge- Publicada
- 17.12.2021
- Actualizado
- 11.10.2026 12:21
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-3w6p-8f82-gw8r - CC BY 4.0
Historial de vulnerabilidades: ru.yandex.clickhouse:clickhouse-jdbc-bridge
Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
Esta es la única vulnerabilidad conocida de este paquete.
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.