Spring Boot Log4j2漏洞修复指南 (Log4J2 Vulnerability and Spring Boot)

最新推荐文章于 2024-06-24 06:50:30 发布
最新推荐文章于 2024-06-24 06:50:30 发布
阅读量1.2w 收藏 40
点赞数 24
分类专栏： SpringBoot2启示录 文章标签： spring boot spring java log4j
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/moshowgame/article/details/121917232
版权

前言

一句话总结issue：如果你使用的是 Log4j 1.x、Logback 或者其他日志框架，这次就可以幸免于难。如果你使用Spring Boot默认日志，也是没有问题的，因为默认是Commons Logging。
一句话修复solution：升级springboot到最新v2.5.8和v2.6.2以及后续版本，确保安全；如果单独依赖了log4j2日志，请强制使用最新版本v2.17.1换切换其他日志系统或者追加参数-Dlog4j2.formatMsgNoLookups=true。

UPDATE：

  • 2021/12/14 09:30 新增RCA
  • 2021/12/14 22:00 加更：log4j2官方已推送中央仓库2.16.0版本
  • 2021/12/15 07:30 加更：ESET NOD32发布Apache Log4j漏洞解决方案，列举部分受影响的框架/平台
  • 2021/01/08 23:00 加更：APPDynamic的MachineAgent更新21.12.5，更新到log4j 2.17.1

Reference:

背调

正如您在新闻中所看到的，针对流行的 Log4J2 库的新零日漏洞利用已被报道，该库可允许攻击者远程执行代码。 该漏洞已通过针对 log4j-core jar 的 CVE-2021-44228 报告，并已在 Log4J v2.15.0 中修复。
在这里插入图片描述

此漏洞由Lookup功能引发，Log4j在默认情况下会开启Lookup功能，提供给客户一种添加特殊值到日志中的方式。此功能中也包含了对JNDI的Lookup，但由于Lookup对加载的JNDI内容未做任何限制，使得攻击者可以通过JNDI注入实现远程加载恶意类到应用中，从而造成RCE。
在这里插入图片描述

漏洞定位: log4j的真正漏洞代码出现在log4j-core的子组件。修复其他组件不一定能有效消除漏洞。很多产品都产生了误报的行为，但是为了安全起见，建议使用专业的分析平台或者强制升级比较稳妥，以绝后患。

在这里插入图片描述
部分受影响框架

目前受影响的Apache Log4j2版本：2.0 ≤ Apache Log4j <= 2.14.1

可能的受影响应用包括但不限于如下：

  • Spring-Boot-strater-log4j2
  • Apache Struts2
  • Apache Solr
  • Apache Flink
  • Apache Druid
  • ElasticSearch
  • flume
  • dubbo
  • Redis
  • logstash
  • kafka

Spring Boot 用户如何处理

Spring Boot 用户只有在将默认日志系统切换到 Log4J2 时才会受到此漏洞的影响。 我们包含在 spring-boot-starter-logging 中的 log4j-to-slf4j 和 log4j-api jar 不能被单独利用。 只有使用 log4j-core 并在日志消息中包含用户输入的应用程序容易受到攻击。

Spring Boot 即将发布的 v2.5.8 和 v2.6.2 版本（2021 年 12 月 23 日到期）将采用 Log4J v2.15.0，但由于这是一个如此严重的漏洞，您可能希望覆盖我们的依赖项管理并尽快升级您的 Log4J2 依赖项。

Maven 处理log4j2指南

对于 Maven 用户，您可以按照这些说明进行设置 log4j2.version 属性.

<properties>
    <log4j2.version>2.17.1</log4j2.version>
</properties>

如何确认是否成功修复？运行 ./mvnw dependency:list | grep log4j检测版本是否为2.15.0.

通过JVM参数处理漏洞

如果程序/系统很难升级，则可以选择追加参数避免该漏洞。
设置log4j2.formatMsgNoLookups系统参数为true即可
例如

java -Dlog4j2.formatMsgNoLookups=true -jar myapp.jar.

设置系统环境变量解决

将系统变量“LOG4J_FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS” 设置为 “true”

powered by zhengkai.blog.csdn.net

设置log4j2.component.properties解决

在项目 classpath 目录下添加 log4j2.component.properties 配置文件，设置 log4j2.formatMsgNoLookups=true

如何查看框架的log4j版本

可以通过maven仓库分解对应的log4j版本
https://mvnrepository.com

Jfinal与log4j漏洞有关吗

例如Jfinal,可以通过maven仓库分解对应的log4j版本
https://mvnrepository.com/artifact/com.jfinal/jfinal/4.1
在这里插入图片描述
拆解得知是1.2.16，安全！

如果你使用最新版本4.9.7，也是安全的，因为用的还是1.2.x
https://mvnrepository.com/artifact/com.jfinal/jfinal/4.9.17
在这里插入图片描述

spring-boot-starter-logging

可以到 https://mvnrepository.com/artifact/org.springframework.boot/spring-boot-starter-logging/2.5.7

例如你使用了spring-boot-starter-logging 2.5.7 ，包含了log4j的2.14.1版本，还是相当危险，最好等待官方发最新 2.5.8

Spring-Boot-strater-log4j2更是绝对的危险，等候官方推送新版解决。

在这里插入图片描述

使用Scantist SCA检测及分析

Scantist SCA平台 https://scantist.io , 来源

为了解决开源软件的漏洞检测和管理的问题，Scantist SCA产品是一套完整的解决方案，同时支持源码和二进制扫描，通过提供对应用程序软件供应链的更大可视性，主动帮助企业管理开源库的安全性和合规性风险。Scantist SCA通过分析软件应用程序中已知的第三方库和组件的特殊签名，并与漏洞和许可证数据库进行交叉对比，以识别软件开发和部署阶段中的安全隐患。
在这里插入图片描述
分析报告
在这里插入图片描述

加更：Log4J 2.16.0修复版发布

修复Log4J2 Vulnerability问题

log4j 2.16.0 MVNREPOSITORY

更新内容：

  • 删除了消息Lookups。目的是采取强化措施以防止 CVE-2021-44228，此举措不是修复 CVE-2021-44228所必须的。

  • 虽然版本 2.15.0 删除了处理Lookups和利用JNDI从日志消息和地址访问的问题，Log4j团队认为默认启用 JNDI 会引入未知的风险。从版本 2.16.0 开始，JNDI 功能是默认情况下禁用，可以通过 log4j2.enableJndi重新启用系统属性。在不受保护的上下文中使用 JNDI 是一个很大的问题 安全风险，应该在这个库和 所有其他使用 JNDI 的 Java 库。

  • 在 2.15.0 版本之前，Log4j 会在模式布局（Pattern Layout）中包含的消息或参数中自动解析 Lookups。这行为不再是默认值，必须通过指定启用%msg{lookup}。：

修正错误

  • LOG4J2-3208：默认禁用 JNDI。需要 log4j2.enableJndi设置为 true 以允许 JNDI。 LOG4J2-3211：完全删除对消息查找的支持。

  • Apache Log4j 2.16.0 至少需要 Java 8 才能构建和运行。Log4j 2.12.1 是最后一个支持 Java 7 的版本。Java 7 不是Log4j 团队的长期支持版本。

  • 有关 Apache Log4j 2 的完整信息，包括有关如何提交错误报告、补丁或改进建议，请参阅 Apache Apache Log4j 2 网站：

https://issues.apache.org/jira/browse/LOG4J2-2975

https://logging.apache.org/log4j/2.x/download.html

ESET快速响应模块检测拦截此漏洞：JAVA/Exploit.CVE-2021-44228

ESET已经在全球范围内推动了组件更新，请确保“快速响应模块”已经更新到版本19417以上

在这里插入图片描述
在这里插入图片描述
加更：AppDynamics报告与更新

Security Advisory: Apache Log4j Vulnerability报告 https://docs.appdynamics.com/display/PAA/Security+Advisory%3A+Apache+Log4j+Vulnerability

关于releasenote可以在这里看到https://docs.appdynamics.com/21.12/en/product-and-release-announcements/release-notes
在这里插入图片描述

其他情况

欢迎讨论和补充！

Moshow郑锴
关注
  • 24
    点赞
  • 踩
  • 40
    收藏
    觉得还不错? 一键收藏
  • 12
    评论
专栏目录
终于，Spring Boot 发布最新版，一招解决 Log4j2 核弹级漏洞
m0_65618219的博客
12-23 1353
Spring Boot 2.6.2 发布 为了应对及解决 Log4j2 的核弹级漏洞，Spring Boot 会在 2021/12/23 左右发布新版： 这不，效率还不错，提前 2 天发版了（2021/12/21），可能是 Log4j2 漏洞的最终尘埃落定吧，最近没少折腾人，Spring Boot 2.6.2 终于来了： 同时发布的还有 Spring Boot 2.5.8，另外可以看到，Spring Boot 现在目前维护了 4 条版本线： 2.6.x（新发布） ...
一行配置解决Spring Boot项目的log4j2核弹漏洞
m0_74931167的博客
04-12 258
这个月马上就又要过去了，还在找工作的小伙伴要做好准备了，小编整理了大厂java程序员面试涉及到的绝大部分面试题及答案，希望能帮助到大家一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**
【重核】Spring Boot 最新版发布，一招解决 Log4j2 核弹级漏洞
最新发布
2401_85112749的博客
06-24 410
当然，如果只是为了解决 Log4j2 的漏洞而升级 Spring Boot 主版本，如果不是必须，追最新版本那大可不必，解决漏洞可以只升级 Log4j2 的版本即可。为了解决 Log4j2 近期发生的核弹级漏洞，Spring Boot 之前说新版本会升级到 Log4j v2.15.0，(img-n8SJjYaJ-1719183018195)](img-r9xO3bTz-1719183018195)]其他的 Spring Boot 2.4.x 及以下的版本线不受支持。Gradle 项目的升级也是同理，略。
Spring Boot Log4j2漏洞修复
涛哥是个大帅比
06-28 999
如果使用的是 Log4j 1.x、Logback或者其他日志框架，不受漏洞影响。如果使用Spring Boot默认日志，也是没有问题的，因为默认是Commons Logging。 Spring Boot框架只有在以下情况下才会受到此漏洞的影响：Log4J2 Vulnerability and Spring Boot https://spring.io/blog/2021/12/10/log4j2-vulnerability-and-spring-boot1.将默认日志切换到Log4J22.集成了spri
一行配置搞定Spring Boot项目的 log4j2 核弹漏洞！
HollisChuang's Blog
12-12 290
相信昨天，很多小伙伴都因为Log4j2的史诗级漏洞忙翻了吧？看到群里还有小伙伴说公司里还特别建了800+人的群在处理...好在很快就有了缓解措施和解决方案。同时，log4j2官方也是速度影...
Spring-Boot项目 修复log4j的漏洞
李康的博客
07-25 569
Spring-Boot项目 修复log4j的漏洞。通过替换日志组件来修复漏洞
spring boot log4j2 漏洞修复
流月up的博客
10-16 168
log4j2的bug修复,局部版本升级
【无标题】log4j2核弹漏洞 springboot
qq_22268227的博客
12-13 182
只需要下面一句搞定
spring boot解决log4j2漏洞升级问题
07-14 1084
使用这种方式的工程，只需要在pom文件中spring-boot-dependencies的坐标之前加入下面的log4j2的坐标，并将版本号修改为自己要升级的版本号即可，修改保存，执行maven导包命令，然后检查log4j2版本号就生效了。这种方式修复起来较为简单，在自己工程的pom文件中，增加如下内容，如果工程中已经有properties标签了，则直接在标签中追加log4j2.version标签即可，重新检查发现版本已经更新。情况二：使用spring-boot-dependencies依赖进行引用。
springboot升级log4j2,解决漏洞问题
芝麻年糕的博客
12-17 6669
最近log4j2爆出有重大漏洞问题，公司也紧急要求各个项目自己查验，要求将log4j的版本升到安全版本
Spring Boot 应对 Log4j2 注入漏洞指南
Linuxprobe18的博客
01-28 162
导读 Log4J2漏洞涉及的影响太广了，昨天发文后很多粉丝留言问Spring Boot项目是否受到Log4J2漏洞影响。Spring官方已经全面进行了排查，现在大家可以知道这些信息和应对方法。 默认配置不受影响 Spring Boot默认日志组件是logback，开发者通过日志门面Slf4j进行集成对接。Spring Boot 用户只有在将默认日志系统切换到 Log4J2 时才会受到此漏洞的影响。Spring Boot包含的log4j-to-slf4j和log4j-api、spring-boot
Log4j2漏洞
热门推荐
qq_20025777的博客
12-10 2万+
Log4j2漏洞危害：高危、远程代码执行
尽快排查///Log4j2 爆重大漏洞，SpringBoot项目如何应对
m0_47375670的博客
12-30 247
Springboot项目mvn使用spring-boot-starter-log4j2的 <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-log4j2</artifactId> </dependency> <dependency> <groupId>org.spring..
log4j2漏洞
thinker
12-12 5252
这个漏洞到底是怎么回事？ 怎么利用这个漏洞呢？ 我看了很多技术分析文章，都太过专业，很多非Java技术栈或者不搞安全的人只能看个一知半解，导致大家只能看个热闹，对这个漏洞的成因、原理、利用方式、影响面理解的不到位。 这篇文章，我尝试让所有技术相关的朋友都能看懂：这个注定会载入网络安全史册上的漏洞，到底是怎么一回事！ log4j2 不管是什么编程语言，不管是前端后端还是客户端，对打日志都不会陌生。 通过日志，可以帮助我们了解程序的运行情况，排查程序运行中出现的问题。 在Java技术栈中，用的比较
核弹级漏洞，我把log4j底裤都给扒了
MachineGunJoe666
12-12 1085
大家好，我是周杰伦。 相信大家这两天应该被这么一条新闻刷屏了： 这个漏洞到底是怎么回事？ 核弹级，真的有那么厉害吗？ 怎么利用这个漏洞呢？ 我看了很多技术分析文章，都太过专业，很多非Java技术栈或者不搞安全的人只能看个一知半解，导致大家只能看个热闹，对这个漏洞的成因、原理、利用方式、影响面理解的不到位。 这篇文章，我尝试让所有技术相关的朋友都能看懂**：这个注定会载入网络安全史册上的漏洞，到底是怎么一回事！** log4j2 不管是什么编程语言，不管是前端后端还是客户端，对打日志都不会陌生。 通过日志，
Apache log4j2漏洞
m0_63645854的博客
06-13 582
本文介绍了log4j2的远程代码执行漏洞
dom4j:dom4j: 1.6.1 Known security vulnerability: 2 Security advisory: 0 Exploits: unavailable Highest severity: high Recommendation: N/A Dependency Analytics Plugin [Powered by Snyk]
06-09
这不是一个问题，而是一个关于一个Java库的安全问题的声明。dom4j库的版本1.6.1已知存在一个高危安全漏洞，但没有已知的攻击利用此漏洞的情况。目前没有建议升级或使用其他版本。这个声明是由Dependency Analytics Plugin [Powered by Snyk]提供的，它是一个帮助开发人员识别和解决安全问题的工具。
评论 12
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值