log4j漏洞原理和解決方案

發(fā)布時(shí)間：2021-12-22

Log4j2介紹
Apache Log4j2是一款強(qiáng)大的Java日志框架。該工具重寫了Log4j框架，并且引入了大量豐富的特性。該日志框架被大量用于業(yè)務(wù)系統(tǒng)開(kāi)發(fā)，用來(lái)記錄日志信息。
 
Log4j2漏洞描述
漏洞名稱：Apache Log4j2 遠(yuǎn)程代碼執(zhí)行漏洞。
 
由于Apache Log4j2某些功能存在遞歸解析功能，攻擊者可直接構(gòu)造惡意請(qǐng)求，觸發(fā)遠(yuǎn)程代碼執(zhí)行漏洞。漏洞利用無(wú)需特殊配置，經(jīng)阿里云安全團(tuán)隊(duì)驗(yàn)證，Apache Struts2、Apache Solr、Apache Druid、Apache Flink等均受影響。阿里云應(yīng)急響應(yīng)中心提醒 Apache Log4j2 用戶盡快采取安全措施阻止漏洞攻擊。
 
漏洞評(píng)級(jí)
嚴(yán)重。
 
漏洞危害
漏洞利用無(wú)需特殊配置，攻擊者可直接構(gòu)造惡意請(qǐng)求，觸發(fā)遠(yuǎn)程代碼執(zhí)行漏洞。
 
利用門檻極低。
 
影響版本
Apache Log4j 2.x <= 2.14.1
 
原理分析
本次 Apache Log4j 遠(yuǎn)程代碼執(zhí)行漏洞，正是由于組件存在 Java JNDI 注入漏洞：當(dāng)程序?qū)⒂脩糨斎氲臄?shù)據(jù)記入日志時(shí)，攻擊者通過(guò)構(gòu)造特殊請(qǐng)求，來(lái)觸發(fā) Apache Log4j2 中的遠(yuǎn)程代碼執(zhí)行漏洞，從而利用此漏洞在目標(biāo)服務(wù)器上執(zhí)行任意代碼。
 
解決方案
目前，Apache Log4j 已經(jīng)發(fā)布了新版本來(lái)修復(fù)該漏洞，受影響的用戶將 Apache Log4j2 的所有相關(guān)應(yīng)用程序升級(jí)至最新的 Log4j-2.15.0-rc2 版本，同時(shí)升級(jí)已知受影響的應(yīng)用程序和組件，如 srping-boot-strater-log4j2、Apache Solr、Apache Flink、Apache Druid。
 
推薦閱讀：
 
 
本文內(nèi)容不用于商業(yè)目的，如涉及知識(shí)產(chǎn)權(quán)問(wèn)題，請(qǐng)權(quán)利人聯(lián)系SPASVO小編(021-60725088-8054)，我們將立即處理，馬上刪除。
滬ICP備07036474號(hào) 2003-2024 版權(quán)所有 上海澤眾軟件科技有限公司 Shanghai ZeZhong Software Co.,Ltd.
微信
咨詢

添加客服微信 歡迎咨詢測(cè)試工具和測(cè)試服務(wù)

微信客服
問(wèn)題
反饋
產(chǎn)品
畫(huà)冊(cè)

掃描二維碼下載澤眾軟件企業(yè)宣傳冊(cè)

產(chǎn)品畫(huà)冊(cè)
返回
頂部

方案咨詢

×
提交信息

電話咨詢，400-035-7887，安排專業(yè)技術(shù)售前給您解答（產(chǎn)品試用、技術(shù)交流、服務(wù)咨詢和商務(wù)報(bào)價(jià)）。

您的信息已成功提交!

我們的客服人員稍后會(huì)與您聯(lián)系