烽火狼烟丨Apache Log4j2远程代码执行漏洞（CVE44832）通告

漏洞概述

近日，WebRAY安全服务部监测到编号为CVE-2021-44832的Apache Log4j2远程代码执行漏洞。攻击者可以通过修改配置文件中JNDI 动态及远程获取数据库源处插入恶意代码，造成远程代码执行漏洞，但想要成功利用该漏洞需要攻击者有权限修改Log4j2的配置文件，利用难度较高。WebRAY安全服务部建议相关用户采取安全措施防止漏洞攻击。

Apache Log4j2是Log4j的升级版本，该版本与之前的log4j1.x相比性能显著提升；在修复了一些存在于Logback中固有的问题的同时，提供了很多在Logback中可用的性能。Apache Struts2、Apache Solr、Apache Druid、Apache Flink等均受影响。

影响范围

2.0-beta7 <= Log4j2<= 2.17.0（不包括安全修复版本 2.3.2 和 2.12.4）

漏洞等级

WebRAY安全服务部风险评级：中危

修复建议

建议用户及时升级到Log4j 2.3.2（适用于Java 6）、2.12.4（适用于Java 7）或 2.17.1（适用于 Java 8 及更高版本），官方下载地址：

https://logging.apache.org/log4j/2.x/download.html

注：从2.17.1版本（适用于 Java 8 及更高版本）、2.12.4（适用于Java 7）、2.3.2（适用于Java 6）开始，已删除对LDAP协议的支持，并且 JNDI 连接仅支持JAVA协议。启用JNDI的属性已从“log4j2.enableJndi”重命名为三个单独的属性：log4j2.enableJndiLookup、log4j2.enableJndiJms和log4j2.enableJndiContextSelector。

参考链接

https://logging.apache.org/log4j/2.x/security.html

https://github.com/apache/logging-log4j2

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-44832

远程命令执行漏洞，用户通过浏览器提交执行命令，由于服务器端没有针对执行函数做过滤，导致在没有指定绝对路径的情况下就执行命令，可能会允许攻击者通过改变 $PATH 或程序执行环境的其他方面来执行一个恶意构造的代码。

由于开发人员编写源码，没有针对代码中可执行的特殊函数入口做过滤，导致客户端可以提交恶意构造语句提交，并交由服务器端执行。命令注入攻击中WEB服务器没有过滤类似system(),eval()，exec()等函数是该漏洞攻击成功的最主要原因。

解决方案

1 假定所有输入都是可疑的，尝试对所有输入提交可能执行命令的构造语句进行严格的检查或者控制外部输入，系统命令执行函数的参数不允许外部传递。

2 不仅要验证数据的类型，还要验证其格式、长度、范围和内容。

3 不要仅仅在客户端做数据的验证与过滤，关键的过滤步骤在服务端进行。

4 对输出的数据也要检查，数据库里的值有可能会在一个大网站的多处都有输出，即使在输入做了编码等操作，在各处的输出点时也要进行安全检查。

5 在发布应用程序之前测试所有已知的威胁。

近日，我中心技术支撑单位监测到Apache Log4j2远程代码执行高危漏洞，攻击者利用漏洞可以在目标服务器上执行任意代码。安全级别为“高危”。

一、漏洞情况

Apache Log4j2是一个基于Java的日志记录工具，存在JNDI注入漏洞，开发者可能会将用户输入导致的错误信息写入日志中，当程序将用户输入的数据进行日志记录时，即可触发此漏洞。

二、影响范围

Apache log4j2 2.0 - 2.14.1 版本均受影响。

三、处置建议

请广大用户更新官方安全补丁或升级到最新版本，并做好网络安全防护工作。

附件：参考链接 ：https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc1

---