log4j漏洞原理和解決方案
發布時間：2021-12-22
Log4j2介紹
Apache Log4j2是一款強大的Java日志框架。該工具重寫了Log4j框架，并且引入了大量豐富的特性。該日志框架被大量用于業務系統開發，用來記錄日志信息。
Log4j2漏洞描述
漏洞名稱：Apache Log4j2 遠程代碼執行漏洞。
由于Apache Log4j2某些功能存在遞歸解析功能，攻擊者可直接構造惡意請求，觸發遠程代碼執行漏洞。漏洞利用無需特殊配置，經阿里云安全團隊驗證，Apache Struts2、Apache Solr、Apache Druid、Apache Flink等均受影響。阿里云應急響應中心提醒 Apache Log4j2 用戶盡快采取安全措施阻止漏洞攻擊。
漏洞評級
嚴重。
漏洞危害
漏洞利用無需特殊配置，攻擊者可直接構造惡意請求，觸發遠程代碼執行漏洞。
利用門檻極低。
影響版本
Apache Log4j 2.x <= 2.14.1
原理分析
本次 Apache Log4j 遠程代碼執行漏洞，正是由于組件存在 Java JNDI 注入漏洞：當程序將用戶輸入的數據記入日志時，攻擊者通過構造特殊請求，來觸發 Apache Log4j2 中的遠程代碼執行漏洞，從而利用此漏洞在目標服務器上執行任意代碼。
解決方案
目前，Apache Log4j 已經發布了新版本來修復該漏洞，受影響的用戶將 Apache Log4j2 的所有相關應用程序升級至最新的 Log4j-2.15.0-rc2 版本，同時升級已知受影響的應用程序和組件，如 srping-boot-strater-log4j2、Apache Solr、Apache Flink、Apache Druid。
推薦閱讀：
本文內容不用于商業目的，如涉及知識產權問題，請權利人聯系SPASVO小編(021-60725088-8054)，我們將立即處理，馬上刪除。
sales@spasvo.com
