【漏洞更新情报】Apache Log4j 2 远程代码执行漏洞风险更新公告

VSole2021-12-10 05:14:30

腾讯云安全运营中心监测到， Apache Log4j 2 被爆存在严重代码执行漏洞，目前官方还没有正式发布安全公告及版本，漏洞被利用可导致服务器被入侵等危害。

为避免您的业务受影响，腾讯云安全建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。

Apache Log4j 2是一个开源的日志记录组件，使用非常的广泛。在工程中以易用方便代替了 System.out 等打印语句，它是JAVA下最流行的日志输入工具。

使用 Log4j 2 在一定场景条件下处理恶意数据时，可能会造成注入类代码执行。并影响以此为基础的众多其他组件及应用。

高风险

攻击者利用该漏洞可导致代码执行

Apache log4j2 >= 2.0, <= 2.14.1

暂无

官方暂未发布正式漏洞补丁及修复版本，请密切关注官方最新版本发布，并关注服务器的异常行为。

用户可排查Java应用是否引入 log4j-api , log4j-core 两个jar包，如有使用可考虑使用如下官方临时补丁进行修复:

https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2

由于Log4j2 作为日志记录基础第三方库，被大量Java框架及应用使用，只要用到 Log4j2 进行日志输出且日志内容能被攻击者部分可控，即可能会受到漏洞攻击影响。因此，该漏洞也同时影响全球大量通用应用及组件，例如：

Apache Struts2

Apache Solr

Apache Druid

Apache Flink

Apache Flume

Apache Dubbo

Apache Kafka

Spring-boot-starter-log4j2

ElasticSearch

Redis

Logstash

…

建议及时检查并升级所有使用了 Log4j 组件的系统或应用。

1. 禁止没有必要的业务访问外网。

2. 设置jvm参数

“-Dlog4j2.formatMsgNoLookups=true”

3. 设置

“log4j2.formatMsgNoLookups=True”

4. 系统环境变量

“FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS”设置为“true”

【备注】：建议您在升级前做好数据备份工作，避免出现意外。

腾讯T-Sec Web应用防火墙（WAF）、腾讯T-Sec高级威胁检测系统（NDR、御界）、腾讯T-Sec云防火墙均已支持检测拦截利用Log4j2 远程代码执行漏洞的攻击活动。

漏洞参考：

https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc1

远程代码执行漏洞log4j

本作品采用《CC 协议》，转载必须注明作者和本文链接