掃一掃
服務(wù)近2000家企業(yè)，依托一系列實踐中打磨過的技術(shù)和產(chǎn)品，根據(jù)企業(yè)的具體業(yè)務(wù)問題和需求，針對性的提供各行業(yè)大數(shù)據(jù)解決方案。
log4漏洞修復(fù)方法
來源：未知 時間：2022-52-26 瀏覽次數(shù)：370次
一.漏洞描述
Apache Log4j2 的遠(yuǎn)程代碼執(zhí)行漏洞細(xì)節(jié)被公開，該漏洞一旦被攻擊者利用會造成嚴(yán)重危害。經(jīng)過快速分析和確認(rèn)，該漏洞影響范圍極其廣泛，危害極其嚴(yán)重，我們建議企業(yè)第一時間啟動應(yīng)急響應(yīng)進(jìn)行修復(fù)。此外，經(jīng)過我們復(fù)現(xiàn)和驗證，TDP 基于其自研的通用漏洞檢測引擎，已于數(shù)月前支持對此次最新漏洞的檢測，無需任何更新：
Apache Log4j2 的遠(yuǎn)程代碼執(zhí)行漏洞細(xì)節(jié)被公開，該漏洞一旦被攻擊者利用會造成嚴(yán)重危害。經(jīng)過快速分析和確認(rèn)，該漏洞影響范圍極其廣泛，危害極其嚴(yán)重，我們建議企業(yè)第一時間啟動應(yīng)急響應(yīng)進(jìn)行修復(fù)。此外，經(jīng)過我們復(fù)現(xiàn)和驗證，TDP 基于其自研的通用漏洞檢測引擎，已于數(shù)月前支持對此次最新漏洞的檢測，無需任何更新：
二.可能的受影響應(yīng)用
Spring-Boot-strater-log4j2
Apache Struts2
Apache Solr
Apache Flink
Apache Druid
ElasticSearch
flume
dubbo
Redis
logstash
kafka
三.檢測及修復(fù)方案
三.檢測及修復(fù)方案
1、緊急緩解措施：
（1） 修改jvm參數(shù) -Dlog4j2.formatMsgNoLookups=true
（2） 修改配置log4j2.formatMsgNoLookups=True
（3） 將系統(tǒng)環(huán)境變量 FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS 設(shè)置為 true
2、檢測方案：
（1）由于攻擊者在攻擊過程中可能使用 DNSLog 進(jìn)行漏洞探測，建議企業(yè)可以通過流量監(jiān)測設(shè)備監(jiān)控是否有相關(guān) DNSLog 域名的請求，微步在線的 OneDNS 也已經(jīng)識別主流 DNSLog 域名并支持?jǐn)r截。
（2）根據(jù)目前微步在線對于此類漏洞的研究積累，我們建議企業(yè)可以通過監(jiān)測相關(guān)流量或者日志中是否存在“jndi:ldap://”、“jndi:rmi”等字符來發(fā)現(xiàn)可能的攻擊行為。
3、修復(fù)方案：
檢查所有使用了 Log4j2 組件的系統(tǒng)，官方修復(fù)鏈接如下：
https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc1可能會無法打開
請點擊此處下載相關(guān)修復(fù)jar《log4漏洞修復(fù)文件》http://filesearch.ixiera.com/log4j2.zip
請點擊此處下載相關(guān)修復(fù)jar《log4漏洞修復(fù)文件》http://filesearch.ixiera.com/log4j2.zip
4.Spring Boot 用戶如何處理
Spring Boot 用戶只有在將默認(rèn)日志系統(tǒng)切換到 Log4J2 時才會受到此漏洞的影響。 我們包含在 spring-boot-starter-logging 中的 log4j-to-slf4j 和 log4j-api jar 不能被單獨利用。 只有使用 log4j-core 并在日志消息中包含用戶輸入的應(yīng)用程序容易受到攻擊。
Spring Boot 即將發(fā)布的 v2.5.8 和 v2.6.2 版本（2021 年 12 月 23 日到期）將采用 Log4J v2.15.0，但由于這是一個如此嚴(yán)重的漏洞，您可能希望覆蓋我們的依賴項管理并盡快升級您的 Log4J2 依賴項。
5.Maven 處理log4j2指南
對于 Maven 用戶，您可以按照這些說明進(jìn)行設(shè)置 log4j2.version 屬性.
<properties>
<log4j2.version>2.15.0</log4j2.version>
</properties>
如何確認(rèn)是否成功修復(fù)？運行 ./mvnw dependency:list | grep log4j檢測版本是否為2.15.0.
6.通過JVM參數(shù)處理漏洞
如果程序/系統(tǒng)很難升級，則可以選擇追加參數(shù)避免該漏洞。
設(shè)置log4j2.formatMsgNoLookups系統(tǒng)參數(shù)為true即可
例如
java -Dlog4j2.formatMsgNoLookups=true -jar myapp.jar.