CVE-2021-44228 | Apache Log4j2远程代码执行漏洞

CVE-2021-44228 | Apache Log4j2远程代码执行漏洞

一、漏洞简介

漏洞名称:Apache Log4j2远程代码执行漏洞

漏洞编号:CVE-2021-44228

CVSS评分:10分(满分)

组件名称:Apache Log4j2

影响版本:2.0 ≤ Apache Log4j <= 2.14.1

漏洞类型:远程代码执行

利用条件:

1、用户认证:不需要用户认证
2、前置条件:默认配置
3、触发方式:远程

综合评价:

<综合评定利用难度>:容易,无需授权即可远程代码执行。

<综合评定威胁等级>:严重,能造成远程代码执行。

二、漏洞分析

1、组件介绍

Apache Log4j2是一款Java日志框架,是Log4j 的升级版。可以控制每一条日志的输出格式。通过定义每一条日志信息的级别,能够更加细致地控制日志的生成过程。

2、漏洞描述

2021年12月9日,深信服安全团队监测到一则Apache Log4j2组件存在远程代码执行漏洞的信息,并成功复现该漏洞。漏洞威胁等级:严重。

该漏洞是由于Apache Log4j2某些功能存在递归解析功能,攻击者可利用该漏洞在未授权的情况下,构造恶意数据进行远程代码执行攻击,最终获取服务器最高权限。

三、影响范围

Apache Log4j2广泛地应用在中间件、开发框架、Web应用中。漏洞危害性高,涉及用户量较大,导致漏洞影响力巨大。

目前受影响的Apache Log4j2版本:

2.0 ≤ Apache Log4j <= 2.14.1

四、解决方案

1、如何检测组件系统版本

打开项目的pom.xml文件,查看log4j-core的version字段

2、官方修复建议

当前官方已发布最新版本,建议受影响的用户及时更新升级到最新版本。链接如下:

https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc1

 

CVE-2021-44228 | Apache Log4j2远程代码执行漏洞

极牛网精选文章《CVE-2021-44228 | Apache Log4j2远程代码执行漏洞》文中所述为作者独立观点,不代表极牛网立场。如若转载请注明出处:https://geeknb.com/17435.html

(25)
打赏 微信公众号 微信公众号 微信小程序 微信小程序
上一篇 2021年12月9日 上午11:20
下一篇 2021年12月10日 上午9:32

相关推荐

发表回复

登录后才能评论