UCloud-202112-002:Apache Log4j2 远程代码执行漏洞预警
- 发布时间
- 更新时间
- 2021-12-18
- 漏洞等级
- High
- CVE编号
- CVE-2021-44228<br /> CVE-2021-45046
漏洞描述
Apache Log4j2是一个基于Java的日志记录工具。该工具重写了Log4j框架，并且引入了大量丰富的特性。该日志框架被大量用于业务系统开发，用来记录日志信息。大多数情况下，开发者可能会将用户输入导致的错误信息写入日志中。此次漏洞触发条件为只要外部用户输入的数据会被日志记录，即可造成远程代码执行。
修复补丁失陷：
Apache Log4j由于非默认配置下对CVE-2021-44228版本的漏洞修复措施不完善，导致了在一些特殊的情况下和部分配置场景可被攻击者继续利用，造成远程代码执行漏洞攻击；为了避免再次被黑客利用漏洞攻击，建议升级到最新版本！
影响版本
1、2.0-beta0 =< Apache Log4j < 2.16.0
安全版本
Apache log4j 2.16.0 (java8)
Apache log4j 2.12.2 (java7)
漏洞自查
1、检查Java应用是否引入log4j-api,log4j-core两个jar。
2、若项目使用Maven打包，查看项目pom文件是否存在groupId包含log4j的依赖
3、java8用户需要及时更新升级到Apache Log4j 2.16.0版本（下载地址：https://logging.apache.org/log4j/2.x/download.html）
4、java7用户清更新升级到Apache Log4j 2.12.2版本（下载地址：https://github.com/apache/logging-log4j2/releases/tag/rel/2.12.2）
修复建议：
1、官方已于2021年12月10日发布新版本修复该漏洞，请尽快升级至安全版本。
2、禁止log4j所在主机外连。
3、禁用JNDI功能。
参考链接：
1、https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2