IT之家 12 月 10 日消息，近期一個(gè) Apache Log4j 遠(yuǎn)程代碼執(zhí)行漏洞細(xì)節(jié)被公開，攻擊者利用漏洞可以遠(yuǎn)程執(zhí)行代碼。
Apache Log4j2 是一款優(yōu)秀的 Java 日志框架。該工具重寫了 Log4j 框架，并且引入了大量豐富的特性。該日志框架被大量用于業(yè)務(wù)系統(tǒng)開發(fā)，用來記錄日志信息。大多數(shù)情況下，開發(fā)者可能會(huì)將用戶輸入導(dǎo)致的錯(cuò)誤信息寫入日志中。IT之家獲悉，由于 Apache Log4j2 某些功能存在遞歸解析功能，攻擊者可直接構(gòu)造惡意請(qǐng)求，觸發(fā)遠(yuǎn)程代碼執(zhí)行漏洞。
漏洞利用無需特殊配置，經(jīng)安全團(tuán)隊(duì)驗(yàn)證，Apache Struts2、Apache Solr、Apache Druid、Apache Flink 等均受影響。因該組件使用極為廣泛，提醒 Apache Log4j2 用戶盡快采取安全措施阻止漏洞攻擊。
漏洞評(píng)級(jí)
Apache Log4j 遠(yuǎn)程代碼執(zhí)行漏洞 嚴(yán)重
影響版本
Apache Log4j 2.x <= 2.14.1
安全建議
1、升級(jí) Apache Log4j2 所有相關(guān)應(yīng)用到最新的 log4j-2.15.0-rc1 版本，地址查看：點(diǎn)擊此處。
2、升級(jí)已知受影響的應(yīng)用及組件，如 spring-boot-strater-log4j2 / Apache Solr / Apache Flink / Apache Druid
建議同時(shí)采用如下臨時(shí)措施進(jìn)行漏洞防范：
1）添加 jvm 啟動(dòng)參數(shù)-Dlog4j2.formatMsgNoLookups=true；
2）在應(yīng)用 classpath 下添加 log4j2.component.properties 配置文件，文件內(nèi)容為 log4j2.formatMsgNoLookups=true；
3）JDK 使用 11.0.1、8u191、7u201、6u211 及以上的高版本；
4）部署使用第三方防火墻產(chǎn)品進(jìn)行安全防護(hù)。
據(jù)悉，Apache Log4j2 日志遠(yuǎn)程代碼執(zhí)行漏洞因此也影響了所有 Minecraft 服務(wù)器。
【影響版本】
Apache log4j2 >= 2.0, <= 2.14.1
Minecraft 全版本所有系列服務(wù)端，除 Mohist 1.18 外。
廣告聲明：文內(nèi)含有的對(duì)外跳轉(zhuǎn)鏈接（包括不限于超鏈接、二維碼、口令等形式），用于傳遞更多信息，節(jié)省甄選時(shí)間，結(jié)果僅供參考，IT之家所有文章均包含本聲明。