Log4j2介紹
Apache Log4j2是一款強(qiáng)大的Java日志框架。該工具重寫了Log4j框架，并且引入了大量豐富的特性。該日志框架被大量用于業(yè)務(wù)系統(tǒng)開發(fā)，用來記錄日志信息。
Log4j2漏洞描述
漏洞名稱：Apache Log4j2 遠(yuǎn)程代碼執(zhí)行漏洞。
由于Apache Log4j2某些功能存在遞歸解析功能，攻擊者可直接構(gòu)造惡意請求，觸發(fā)遠(yuǎn)程代碼執(zhí)行漏洞。漏洞利用無需特殊配置，經(jīng)阿里云安全團(tuán)隊驗證，Apache Struts2、Apache Solr、Apache Druid、Apache Flink等均受影響。阿里云應(yīng)急響應(yīng)中心提醒 Apache Log4j2 用戶盡快采取安全措施阻止漏洞攻擊。
漏洞評級
嚴(yán)重。
漏洞危害
漏洞利用無需特殊配置，攻擊者可直接構(gòu)造惡意請求，觸發(fā)遠(yuǎn)程代碼執(zhí)行漏洞。
利用門檻極低。
影響版本
Apache Log4j 2.x <= 2.14.1
原理分析
本次 Apache Log4j 遠(yuǎn)程代碼執(zhí)行漏洞，正是由于組件存在 Java JNDI 注入漏洞：當(dāng)程序?qū)⒂脩糨斎氲臄?shù)據(jù)記入日志時，攻擊者通過構(gòu)造特殊請求，來觸發(fā) Apache Log4j2 中的遠(yuǎn)程代碼執(zhí)行漏洞，從而利用此漏洞在目標(biāo)服務(wù)器上執(zhí)行任意代碼。
解決方案
目前，Apache Log4j 已經(jīng)發(fā)布了新版本來修復(fù)該漏洞，受影響的用戶將 Apache Log4j2 的所有相關(guān)應(yīng)用程序升級至最新的 Log4j-2.15.0-rc2 版本，同時升級已知受影響的應(yīng)用程序和組件，如 srping-boot-strater-log4j2、Apache Solr、Apache Flink、Apache Druid。
推薦閱讀：
本文內(nèi)容不用于商業(yè)目的，如涉及知識產(chǎn)權(quán)問題，請權(quán)利人聯(lián)系SPASVO小編(021-60725088-8054)，我們將立即處理，馬上刪除。
sales@spasvo.com
