Apache Log4j2漏洞修复和临时补救方法

最新推荐文章于 2024-03-12 15:36:22 发布

Java°遇上鲸鱼

最新推荐文章于 2024-03-12 15:36:22 发布

阅读量9.4k

点赞数

分类专栏：后端_框架技术文章标签： apache java jar

本文为博主原创文章，未经博主允许不得转载。

本文链接：https://blog.csdn.net/qq_35393472/article/details/122251377

版权

后端_框架技术专栏收录该内容

5 篇文章 0 订阅

订阅专栏

1、描述：

Apache Log4j 远程代码执行漏洞 严重
Apache Log4j2漏洞排查（版本影响范围2.0 <= Apache Log4j 2 <= 2.15.0-rc1）
漏洞影响版本：2.0 <= Apache Log4j 2 <= 2.15.0安恒信息应急响应中心已验证该漏洞的可利用性。2021年12月10日，Apache Log4j2 官方针对此漏洞发布的2.15.0-rc1版本存在绕过，官方再次发布2.15.0-rc2版本以解决绕过问题，目前最新版本log4j-2.17.0-rc1。

近日，安恒信息应急响应中心监测到 Apache Log4j 2 存在远程代码执行漏洞，经验证，该漏洞允许攻击者在目标服务器上执行任意代码，可导致服务器被黑客控制。由于 Apache Log4j 2 应用较为广泛，建议使用该组件的用户尽快采取安全措施。

2、缓解措施

紧急：目前漏洞 POC 已被公开，官方已发布安全版本，建议使用该组件的用户尽快采取安全措施。
处置：
1、处理方法1：升级 Apache Log4j 2 至最新安全版本，下载地址：
https://github.com/apache/logging-log4j2/releases/tag/log4j-2.17.0-rc1

2、漏洞演示
（1）创建maven工程，引入jar包依赖

    <dependencies>
        <dependency>
            <groupId>org.apache.logging.log4j</groupId>
            <artifactId>log4j-api</artifactId>
            <version>2.14.0</version>
        </dependency>
        <dependency>
            <groupId>org.apache.logging.log4j</groupId>
            <artifactId>log4j-core</artifactId>
            <version>2.14.0</version>
        </dependency>
    </dependencies>

（2）编写log4j2配置文件

<?xml version="1.0" encoding="UTF-8"?>
<Configuration status="WARN">

    <!--全局参数-->
    <Properties>
        <Property name="pattern">%d{yyyy-MM-dd HH:mm:ss,SSS} %5p %c{1}:%L - %m%n</Property>
        <Property name="logDir">/data/logs/dust-server</Property>
    </Properties>

    <Loggers>
        <Root level="INFO">
            <AppenderRef ref="console"/>
            <AppenderRef ref="rolling_file"/>
        </Root>
    </Loggers>

    <Appenders>
        <!-- 定义输出到控制台 -->
        <Console name="console" target="SYSTEM_OUT" follow="true">
            <!--控制台只输出level及以上级别的信息-->
            <ThresholdFilter level="INFO" onMatch="ACCEPT" onMismatch="DENY"/>
            <PatternLayout>
                <Pattern>${pattern}</Pattern>
            </PatternLayout>
        </Console>
        <!-- 同一来源的Appender可以定义多个RollingFile，定义按天存储日志 -->
        <RollingFile name="rolling_file"
                     fileName="${logDir}/dust-server.log"
                     filePattern="${logDir}/dust-server_%d{yyyy-MM-dd}.log">
            <ThresholdFilter level="INFO" onMatch="ACCEPT" onMismatch="DENY"/>
            <PatternLayout>
                <Pattern>${pattern}</Pattern>
            </PatternLayout>
            <Policies>
                <TimeBasedTriggeringPolicy interval="1"/>
            </Policies>
            <!-- 日志保留策略，配置只保留七天 -->
            <DefaultRolloverStrategy>
                <Delete basePath="${logDir}/" maxDepth="1">
                    <IfFileName glob="dust-server_*.log" />
                    <IfLastModified age="7d" />
                </Delete>
            </DefaultRolloverStrategy>
        </RollingFile>
    </Appenders>
</Configuration>

（3）创建测试类Log4j2Demo

//java项目 fhadmin.cn
public class Log4j2Demo {

    private static  final Logger LOGGER=LogManager.getLogger();
    public static void main(String[] args) {
        String username="${java:os}";

        LOGGER.info("Hello, {}",username);
    }
}

（4）结果

[INFO] Building log4j2-bug-test 1.0-SNAPSHOT
[INFO] --------------------------------[ jar ]---------------------------------
[INFO] 
[INFO] --- exec-maven-plugin:3.0.0:exec (default-cli) @ log4j2-bug-test ---
2021-12-21 12:24:04,652  INFO Log4j2Demo:12 - Hello, Windows 10 10.0, architecture: amd64-64
[INFO] ------------------------------------------------------------------------
[INFO] BUILD SUCCESS
[INFO] ------------------------------------------------------------------------
[INFO] Total time:  1.140 s
[INFO] Finished at: 2021-12-21T11:44:13+18:10
[INFO] ------------------------------------------------------------------------