没完没了，Apache Log4j：你爆我也爆！

2023-12-24 02:52:14

Apache Log4j 漏洞死灰复燃：CVE-2021-44832 入侵

最近，Apache Log4j 日志库中发现了另一个关键的远程代码执行（RCE）漏洞，编号为 CVE-2021-44832。这并不是 Log4j 库中首次发现漏洞，这个不断增长的漏洞清单令人震惊地揭示了即使是最流行和广泛使用的软件组件也并非万无一失的事实。

漏洞详情

CVE-2021-44832 漏洞是一个基于堆栈的缓冲区溢出漏洞，它允许攻击者在目标系统上执行任意代码。与之前的 Log4j 漏洞类似，攻击者可以通过将恶意输入记录到日志文件中来利用此漏洞。当 Log4j 处理此输入时，它会触发缓冲区溢出，导致任意代码执行。

影响

此漏洞的影响十分严重，因为它可以让攻击者完全控制受影响的系统。他们可以安装恶意软件、窃取敏感数据或发起进一步的攻击。受影响的系统包括使用 Log4j 库进行日志记录的任何应用程序或服务，例如 Web 服务器、应用程序服务器和云平台。

缓解措施

缓解此漏洞的最佳方法是更新到最新版本的 Log4j。Log4j 2.17.1 及更高版本已修复此漏洞。此外，可以采用以下缓解措施：

将 log4j2.formatMsgNoLookups 设置为 true
将日志级别设置为 ERROR 或更高
从类路径中删除 Log4j 核心 JAR 文件

代码示例

以下代码示例展示了如何在 Java 应用程序中实施 log4j2.formatMsgNoLookups 属性：

import org.apache.logging.log4j.core.config.Configurator;

public class Log4jMitigation {

    public static void main(String[] args) {
        // 设置 log4j2.formatMsgNoLookups 属性为 true
        System.setProperty("log4j2.formatMsgNoLookups", "true");

        // 初始化 Log4j 配置
        Configurator.initialize(null, Log4jConfigurationFactory.class.getName());

        // ... 您的应用程序逻辑 ...
    }
}