Frage zu Log4J Problem

[Lemmy]

Servus,

wenn ich ein Jar habe, das "nur" auf meinem Rechner liegt, das jar aber nicht aktiv ausgeführt wird. Dort ist aber definitiv eine alte Log4J drin, dann kann doch diese Lücke nur dann ausgenutzt werden, wenn ich auf meinem Rechner ein Programm ausführe, das dann nach angreifbaren jar sucht. Wobei dann müsste das Programm ja noch die Jar ausführen?!?

Oder kann das Programm dann "lediglich" das kaputte Log4J aus dem Jar aktivieren und ausnutzen?

Grüße

P.s: mir ist klar, dass ich schon dann ein Problem habe, wenn ich ein unerwünschtes Programm auf meiner Kiste ausführe....