Das BSI schreibt:
Die Protokollierungsbibliothek Log4J dient der performanten Aggregation von Protokolldaten einer Anwendung. Die veröffentlichte Schwachstelle ermöglicht es Angreifenden ab den Versionen 2.10 auf dem Zielsystem eigenen Programmcode auszuführen, was zur Kompromittierung des Zielsystems führen kann. Dabei kann die Schwachstelle, durch die Verwendung einer speziellen Zeichenkette, trivial ausgenutzt werden. Die Schwachstelle kann nicht nur zum Nachladen von weiterer Schadsoftware genutzt werden, sondern auch für die Exfiltration von vertraulichen Daten (z. B. Umgebungsvariabeln). Hierfür ist kein Nachladen von externer Schadsoftwarenotwendig, sodass diese Ausnutzung mit einer (einfachen) Anfrage durchgeführt werden kann. Eine ähnliche Schwachstelle ist auch für die nicht mehr im Support befindlichen Versionen 1.x gemeldet worden, hierbei scheint die Ausnutzung allerdings komplexer zu sein. Da die Versionen 1.x jedoch den End-of-life (EOL) Status erreicht haben, wird es zu diesen keine Sicherheitsupdates mehr geben.
Weitere Informationen:
https://www.heise.de/news/Log4j-2-16-0-verbessert-Schutz-vor-Log4Shell-Luecke-6294053.html
Schutz vor schwerwiegender Log4j-Lücke – was jetzt hilft und was nicht:
Betroffene Produkte (Liste unvollständig):
https://gist.github.com/SwitHak/b66db3a06c2955a9cb71a8718970c592