首页 > 运维技术 > 正文

【漏洞预警】ApacheLog4j2远程代码执行漏洞
2021-12-21 17:08:36   来源:   评论:0 点击:

由于Apache Log4j 2 被披露出存在严重代码执行漏洞,目前官方还没有正式发布安全公告及版本,漏洞被利用可导致服务器被入侵等危害。为避...

由于 Apache Log4j 2 被披露出存在严重代码执行漏洞,目前官方还没有正式发布安全公告及版本,漏洞被利用可导致服务器被入侵等危害。

 

为避免您的业务受影响,景安建议您及时开展安全自查,如在受影响范围,请您及时进行更新修复,避免被外部攻击者入侵。

 

漏洞详情

Apache Log4j 2是一个开源的日志记录组件,使用非常的广泛。在工程中以易用方便代替了 System.out 等打印语句,它是JAVA下最流行的日志输入工具。由于某些功能存在递归解析功能,攻击者可直接构造恶意请求,触发远程代码执行漏洞。漏洞利用无需特殊配置,Apache Struts2、Apache Solr、Apache Druid、Apache Flink等均受影响。

建议及时检查并升级所有使用了 Log4j 组件的系统或应用。

 

风险等级

高风险

 

漏洞风险

攻击者利用该漏洞可导致任意代码执行

 

影响版本

Apache log4j2 >= 2.0, <= 2.14.1

 

安全版本

暂无

 

修复建议

官方已暂未发布正式漏洞补丁及修复版本,请密切关注官方最新版本发布,并关注服务器的异常行为。

用户可排查Java应用是否引入 log4j-api , log4j-core 两个jar包,如有使用可考虑使用如下官方临时补丁进行修复:
https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2

其他临时缓解措施:
1. 禁止没有必要的业务访问外网。
2. 设置jvm参数 “-Dlog4j2.formatMsgNoLookups=true”
3. 设置“log4j2.formatMsgNoLookups=True”
4. 系统环境变量“FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS”设置为“true”

【备注】:建议您在升级前做好数据备份工作,避免出现意外

 

漏洞参考

https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2


微信扫一扫添加微信好友

 
郑州市景安网络科技股份有限公司
联系人:王志成 手机:18937119537(微信同号)
QQ:客服QQ537008063  客服QQ725017803
地址:郑州市经开区经北三路河南通信产业园
官网:www.zzidcc.com 

相关热词搜索:漏洞 预警 ApacheLog4j2

上一篇:如何对服务器硬件做压力测试-stress工具使用指南和结果分析
下一篇:最后一页

分享到: 收藏