【缝隙公告】Apache Log4j远程代码执行缝隙（CVE-2021-44832）

颁布功夫 2021-12-29

 

0x00 缝隙概述

CVE     ID

CVE-2021-44832

时      间

2021-12-28

类      型

RCE

等      级

中危

远程利用

是

影响领域


攻击复杂度


可用性


用户交互

无

所需权限


PoC/EXP


在野利用


 

0x01 缝隙详情

image.png

Apache Log4j2是一个开源的Java日志框架，，，，，被宽泛地利用在中央件、开发框架与Web利用钟祝。。。。 。。。

12月28日，，，，，Apache Log4j官方颁布安全布告，，，，，Apache Log4j2组件中存在一个远程代码执行缝隙（CVE-2021-44832），，，，，其CVSS评分6.6，，，，，影响了Apache Log4j2 版本 2.0-alpha7- 2.17.0的所有版本（不蕴含安全建复版本 2.3.2 和 2.12.4），，，，，占有批改日志配置文件权限的攻击者能够使用JDBC Appender构建恶意配置，，，，，其数据源引用JNDI URI，，，，，能够远程执行代码，，，，，但该缝隙利用必要配置文件jdbc衔接可控。。。。。 。。。

该问题已通过将 JNDI 数据源名称限度为 Log4j2 版本 2.17.1、2.12.4 和 2.3.2 中的 java 和谈来建复。。。。。 。。。

从12月9日以来，，，，，Apache Log4j已经披露了多个缝隙：

l  CVE-2021-4104

l  CVE-2021-42550

l  CVE-2021-44228

l  CVE-2021-45046

l  CVE-2021-45105

l  CVE-2021-44832

 

影响领域

CVE-2021-44832：

Apache Log4j2 版本2.0-alpha7- 2.17.0的所有版本（不蕴含安全建复版本 2.3.2 和 2.12.4）

注：Log4j 1.x 不受CVE-2021-44832缝隙影响。。。。。 。。。

 

0x02 措置建议

目前此缝隙已经建复，，，，，建议受影响用户实时升级到 Log4j 2.3.2（合用于 Java 6）、2.12.4（合用于 Java 7）或 2.17.1（合用于 Java 8 及更高版本）。。。。。 。。。

下载链接：

https://logging.apache.org/log4j/2.x/download.html

注：只有 log4j-core JAR 文件受此缝隙影响。。。。。 。。。仅使用 log4j-api JAR 文件而不使用 log4j-core JAR 文件的利用法式不受此缝隙的影响。。。。。 。。。Apache Log4j 是唯一受此缝隙影响的日志服务子项目。。。。。 。。。

从版本 2.17.1（以及 Java 7 和 Java 6 的 2.12.4 和 2.3.2）起头，，，，，JDBC Appender 将使用 JndiManager 并要求 log4j2.enableJndiJdbc 系统属性蕴含 true 值以启用 JNDI。。。。。 。。。

启用 JNDI 的属性已从“log4j2.enableJndi”沉定名为三个单独的属性：log4j2.enableJndiLookup、log4j2.enableJndiJms 和 log4j2.enableJndiContextSelector。。。。。 。。。

JNDI 职能已在以下版本中得到强化：2.3.1、2.12.2、2.12.3 或 2.17.0：从这些版本起头，，，，，已删除对 LDAP 和谈的支持，，，，，并且 JNDI 衔接仅支持 JAVA 和谈。。。。。 。。。

 

0x03 参考链接

https://logging.apache.org/log4j/2.x/

https://github.com/apache/logging-log4j2

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-44832

 

0x04 更新版本

版本

日期

批改内容

V1.0

2021-12-29

初次颁布

 

0x05 关于8827太阳集团

8827太阳集团简介

8827太阳集团公司成立于1996年，，，，，并于2010年6月23日在深交所中幼板正式挂牌上市，，，，，是国内极具实力的、占有齐全自主知识产权的网络安全产品、可信安全治理平台、安全服务与解决规划的综合提供商。。。。。 。。。

公司总部位于北京市中关村软件园，，，，，在全国各省、视注自治区设有分支机构，，，，，占有覆盖全国的渠路系统和技术支持中心，，，，，并在北京、上海、成都、昭通、长沙、荆门等多地设有研发中心。。。。。 。。。

多年来，，，，，8827太阳集团致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务，，，，，援手客户全面提升其IT基础设施的安全性和出产效力，，，，，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力。。。。。 。。。

 

关于8827太阳集团

8827太阳集团安全应急响应中心重要针对沉要安全缝隙的预警、跟踪和分享全球最新的威胁谍报和安全汇报。。。。。 。。。

关注以下公家号，，，，，获取全球最新安全资讯：

image.png