緊急！Log4j 曝核彈級漏洞；一行配置修復，速改！

漏洞描述

Apache Log4j2是一款優秀的Java日志框架，2021年11月24日，阿里云安全團隊向Apache官方報告了Apache Log4j2遠程代碼執行漏洞，由于Apache Log4j2某些功能存在遞回決議功能，攻擊者可直接構造惡意請求，觸發遠程代碼執行漏洞，漏洞利用無需特殊配置，經阿里云安全團隊驗證，Apache Struts2、Apache Solr、Apache Druid、Apache Flink等均受影響，2021年12月10日，阿里云安全團隊發現 Apache Log4j 2.15.0-rc1 版本存在漏洞繞過，請及時更新至 Apache Log4j 2.15.0 版本，阿里云應急回應中心提醒 Apache Log4j2 用戶盡快采取安全措施阻止漏洞攻擊，

漏洞評級

嚴重

漏洞細節	漏洞PoC	漏洞EXP	在野利用
公開	公開	公開	存在

影響版本

Apache Log4j 2.x < 2.15.0

Spring Boot最簡修復方式

有小伙伴希望能通過Spring Boot的Starter快速解決，還給Spring Boot提了Issue，希望spring-boot-starter-log4j2能支持2.15的版本

截至目前，log4j最新的release版本2.15.0已經上線；

Spring Boot專案只需要在pom.xml檔案添加一行配置解決

<properties>
    <log4j2.version>2.15.0</log4j2.version>
</properties>

本次漏洞影響范圍

已知受影回應用及組件

Apache Solr
Apache Struts2
Apache Flink
Apache Druid
srping-boot-strater-log4j2
Apache Dubbo
Apache Kafka
ElasticSearch
Redis
Logstash

…

漏洞排查方式

解壓Jar包，看是否存在org/apache/logging/log4j相關結構路徑

依賴檢查，看是否存在以下依賴，并升級至log4j-2.15.0及以上

<!-- https://mvnrepository.com/artifact/org.apache.logging.log4j/log4j-core -->
<dependency>
    <groupId>org.apache.logging.log4j</groupId>
    <artifactId>log4j-core</artifactId>
    <version>2.15.0</version>
</dependency>

<!-- https://mvnrepository.com/artifact/org.apache.logging.log4j/log4j-api -->
<dependency>
    <groupId>org.apache.logging.log4j</groupId>
    <artifactId>log4j-api</artifactId>
    <version>2.15.0</version>
</dependency>

檢查日志

攻擊者在利用前通常采用dnslog方式進行掃描、探測，常見的漏洞利用方式可通過應用系統報錯日志中的”javax.naming.CommunicationException”、”javax.naming.NamingException: problem generating object using object factory”、”Error looking up JNDI resource”關鍵字進行排查，
資料包

攻擊者發送的資料包中可能存在”${jndi:}” 字樣，推薦使用全流量或WAF設備進行檢索排查，