log4j日志漏洞问题

最新推荐文章于 2024-09-08 16:46:46 发布

luffy5459

最新推荐文章于 2024-09-08 16:46:46 发布

阅读量4.1k

点赞数

分类专栏： java 文章标签： log4j 安全 lookup jndi rmi

本文链接：https://blog.csdn.net/feinifi/article/details/127892222

版权

本文详细介绍了Apache Log4j的安全漏洞，该漏洞允许远程代码执行，影响版本为2.0到2.14.1。通过示例代码，展示了如何复现这个漏洞，以及其工作原理。尽管该漏洞可能导致安全风险，但作者认为如果没有注册JNDI服务，实际威胁有限。文章强调了理解漏洞的重要性，而非盲目升级。

摘要由CSDN通过智能技术生成

去年，log4j被爆出了一个漏洞，说可以通过利用日志格式化中的远程注入控制主机。当时，这个漏洞被形容为史诗级漏洞，因为这个远程操作可以执行一些操作，如果这个操作有恶意，那么就可以干任何事情，其实有点唬人。

log4j影响的版本是>2.0并且<2.14.1。

下面简单复现一下这个漏洞：

pom.xml

<dependency>
    <groupId>org.apache.logging.log4j</groupId>
    <artifactId>log4j-core</artifactId>
    <version>2.14.0</version>
</dependency>

log4j2.xml

<?xml version="1.0" encoding="UTF-8"?>
<Configuration xmlns="http://logging.apache.org/log4j/2.0/config">
<Appenders>
    <Console name="Console" target="SYSTEM_OUT">
        <PatternLayout pattern="%d{HH:mm:ss.SSS} [%t] %-5level %logger{36} - %msg%n"></PatternLayout>
    </Console>
</Appenders>
<Loggers>
    <R