RHSB-2021-009 Log4Shell - 远程代码执行漏洞 - log4j（红帽系统产品受影响清单和说明

执行摘要

Apache Log4j 是一个与日志功能有关的函数库，内嵌在基于 Java 应用程序中。在 Apache Log4j 2 （Log4j的升级版）中发现了一个漏洞，攻击者可以注入一个恶意的字符串, 这个字符串可以以Java 命名与目录接口（JNDI）的方式来使用轻量级目录访问协议（LDAP）进行服务查询，此时攻击者就可以在这台服务器上执行恶意代码。

这个漏洞允许远程攻击者在目标主机上执行恶意代码，执行代码的用户权限即为调用了 Apache Log4j2 的 Java 应用的用户权限。

目前上游社区已经给此问题分配了 CVE 代码 CVE-2021-44228，并且将影响级别定义为高危级别（Critical）。此问题对红帽产品的影响可以参考红帽 CVE 链接 CVE-2021-44228。

下列红帽产品版本将会受到本次安全漏洞的影响：

• Red Hat CodeReady Studio 12 

• Red Hat OpenStack Platform 13

• Red Hat Integration Camel K

• Red Hat Integration Camel Quarkus

• Red Hat OpenShift Application Runtimes Vert.X 4

• Red Hat Fuse 7

• Red Hat OpenShift 4

• Red Hat OpenShift 3.11

• Red Hat OpenShift Logging

• Red Hat Data Grid 8

• Red Hat AMQ Streaming 

红帽强烈建议您在红帽发布软件勘误补丁包（errata）后第一时间更新您受到影响的软件版本。并建议您在没有更新可用的情况下，通过使用缓解方案避免系统受到影响。

下列产品不受此缺陷的影响，在此处明确列出以方便我们的客户。

• Red Hat Enterprise Linux 5, 6, 7, 8
• Red Hat Cost Management
• Red Hat Advanced Cluster Management for Kubernetes 
• Red Hat Ansible Automation Platform (Engine and Tower)
• Red Hat Certificate System
• Red Hat Directory Server
• Red Hat CloudForms 
• Red Hat Update Infrastructure
• Red Hat Satellite

技术概述

在从版本 2.0.0 到2.15.0 的 Apache Log4j 日志记录库中发现了一个安全漏洞。一个能够控制日志信息或日志信息参数的远程攻击者，利用这个安全漏洞可以通过 JNDI LDAP 端点在服务器上执行任意代码。

缓解方案

根据使用的 log4j 的版本，可以使用以下相关的缓解方案：

- 对于版本 2.10 及更高版本，将系统属性 log4j2.formatMsgNoLookups 或环境变量 LOG4J_FORMAT_MSG_NO_LOOKUPS 设置为 true，

- 对于版本 2.7 到版本 2.14.1，可以修改所有 PatternLayout 模式，以将消息转换器指定为 %m{nolookups} 而不是仅为 %m，

- 对于版本 2.0-beta9 到版本 2.10.0，从类路径中删除 JndiLookup 类。例如：

```
zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class
```
- 对于 OpenShift 4 和 OpenShift Logging，请参阅以下文档中的缓解方案：OCP4: CVE-2021-44228 affecting Elasticsearch (Red Hat OpenShift Logging) - Red Hat Customer Portal

受影响产品的更新

红帽强烈建议您在红帽发布软件勘误补丁包（errata）之后尽快更新您业务系统中正在受到影响的软件版本。并建议您在没有更新可用的情况下，通过使用缓解方案避免系统受到影响。

产品	组件	公告/更新 [1]
Red Hat OpenShift 4	openshift4/ose-logging-elasticsearch6 openshift4/ose-metering-presto openshift4/ose-metering-hive
Red Hat OpenShift 3.11	openshift3/ose-logging-elasticsearch5
Red Hat OpenShift Logging	logging-elasticsearch6-container
Red Hat OpenStack Platform 13	opendaylight
Red Hat CodeReady Studio 12	log4j-core
Red Hat Data Grid 8	log4j-core
Red Hat Integration Camel-K	log4j-core
Red Hat Integration Camel Extensions for Quarkus	log4j-core
Red Hat AMQ Streams	log4j-core
Red Hat Fuse 7	log4j-core
Red Hat build of Vert.x 4	log4j-core

平台	软件包	状态	勘误	发布日期
Red Hat Software Collections	rh-maven36-log4j12	不受影响
Red Hat Software Collections	rh-maven35-log4j12	不受影响
Red Hat Software Collections	rh-java-common-log4j	不受影响
Red Hat Enterprise Linux 8	parfait:0.5/log4j12	不受影响
Red Hat OpenShift Container Platform 4	openshift4/ose-metering-presto	受影响
Red Hat OpenShift Container Platform 4	openshift4/ose-metering-hive	受影响
Red Hat OpenShift Container Platform 4	openshift4/ose-logging-elasticsearch6	受影响
Red Hat OpenShift Container Platform 3.11	openshift3/ose-logging-elasticsearch5	受影响
Red Hat OpenStack Platform 13 (Queens)	opendaylight	正在调查中
Red Hat OpenShift Logging	logging-elasticsearch6-container	受影响
红帽构建的 Quarkus	log4j-core 低	受影响
Red Hat JBoss Enterprise Application Platform 7	log4j-core 低	受影响
Red Hat JBoss Enterprise Application Platform Expansion Pack	log4j-core 低	受影响
A-MQ Clients 2	log4j-core	正在调查中
Red Hat CodeReady Studio 12	log4j-core	正在调查中
Red Hat Data Grid 8	log4j-core	受影响
Red Hat Descision Manager 7	log4j-core	正在调查中
Red Hat Integration Camel K	log4j-core	正在调查中
Red Hat Integration Camel Quarkus	log4j-core	正在调查中
Red Hat JBoss A-MQ Streaming	log4j-core	受影响
Red Hat JBoss Fuse 7	log4j-core	受影响
Red Hat OpenShift Application Runtimes	log4j-core	受影响
Red Hat Process Automation 7	log4j-core	正在调查中
Red Hat Single Sign-On 7	log4j-core	正在调查中
Red Hat Enterprise Linux 6	log4j	不受影响
Red Hat Enterprise Linux 7	log4j	不受影响
Red Hat JBoss Enterprise Application Platform 6	log4j	不受影响

原文：RHSB-2021-009 Log4Shell - 远程代码执行漏洞 - log4j - Red Hat Customer PortalRHSB-2021-009 Log4Shell - 远程代码执行漏洞 - log4j - Red Hat Customer Portalhttps://access.redhat.com/zh_CN/security/vulnerabilities/6579441