建站
咨詢(xún)
售后
建站咨詢(xún)
新聞中心
12月9日一直到現(xiàn)在技術(shù)圈可謂是炸鍋了，所有人都在關(guān)注著一個(gè)漏洞：Apache Log4j 2 遠(yuǎn)程代碼執(zhí)行。該漏洞一旦被攻擊者利用會(huì)造成嚴(yán)重危害。
為仁壽等地區(qū)用戶(hù)提供了全套網(wǎng)頁(yè)設(shè)計(jì)制作服務(wù)，及仁壽網(wǎng)站建設(shè)行業(yè)解決方案。主營(yíng)業(yè)務(wù)為成都做網(wǎng)站、成都網(wǎng)站制作、仁壽網(wǎng)站設(shè)計(jì)，以傳統(tǒng)方式定制建設(shè)網(wǎng)站，并提供域名空間備案等一條龍服務(wù)，秉承以專(zhuān)業(yè)、用心的態(tài)度為用戶(hù)提供真誠(chéng)的服務(wù)。我們深信只要達(dá)到每一位用戶(hù)的要求，就會(huì)得到認(rèn)可，從而選擇與我們長(zhǎng)期合作。這樣，我們也可以走得更遠(yuǎn)！
圖片來(lái)自 Pexels
由于該組件廣泛應(yīng)用在各個(gè) Java 程序中，影響范圍極大，排查難度大，危害性很高，很多互聯(lián)網(wǎng)公司的程序員們熬夜加班急修復(fù)。
漏洞簡(jiǎn)介
Apache Log4j 2 是一款優(yōu)秀的 Java 日志框架。該工具重寫(xiě)了 Log4j 框架，并且引入了大量豐富的特性。該日志框架被大量用于業(yè)務(wù)系統(tǒng)開(kāi)發(fā)，用來(lái)記錄日志信息。
由于 Apache Log4j 2 某些功能存在遞歸解析功能，攻擊者可直接構(gòu)造惡意請(qǐng)求，觸發(fā)遠(yuǎn)程代碼執(zhí)行漏洞。
漏洞危害
漏洞利用無(wú)需特殊配置，攻擊者可直接構(gòu)造惡意請(qǐng)求，觸發(fā)遠(yuǎn)程代碼執(zhí)行漏洞。
影響范圍
Apache Log4j 2.x <= 2.14.1
修復(fù)措施
建議排查 Java 應(yīng)用是否引入 log4j-api , log4j-core 兩個(gè) jar，若存在使用，極大可能會(huì)受到影響，強(qiáng)烈建議受影響用戶(hù)盡快進(jìn)行防護(hù)。
①升級(jí) Apache Log4j 2 所有相關(guān)應(yīng)用到最新的 log4j-2.15.0-rc2 版本，地址如下：
- https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2
②升級(jí)已知受影響的應(yīng)用及組件，如：
- spring-boot-strater-log4j2
- Apache Solr
- Apache Flink
- Apache Druid
- ......
緊急緩解措施
如果還來(lái)不及更新版本修復(fù)，可通過(guò)下面的方法緊急緩解問(wèn)題：
①修改jvm參數(shù) -Dlog4j2.formatMsgNoLookups=true
②修改配置：log4j2.formatMsgNoLookups=True
③將系統(tǒng)環(huán)境變量 FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS 設(shè)置為 true
當(dāng)前名稱(chēng)：Log4j爆核彈級(jí)漏洞，公司炸鍋了...
網(wǎng)站路徑：http://m.5511xx.com/article/djsihgd.html
