项目|紧急！Apache Log4j 2漏洞播报_版本|Apache|在野|-rc|应用|

2021年12月9日晚，开源项目Apache Log4j 2的一个远程代码执行漏洞的利用细节被公开。而公开漏洞时，该漏洞被认为是影响了2.0至2.14.1-rc1的所有版本。但技术人员在后续的实际测试中发现， 12月7日上午更新的2.15.0-rc1版本依然存在触发该漏洞的可能性。最终在利用细节被公布的几小时后——12月10日凌晨2点半左右， Apache Log4j 2更新至了2.15.0-rc2版本，至此漏洞才确认被修复。
Apache Log4j是一个基于Java的日志记录工具，目前是Apache软件基金会下的一个开源项目。而此次出现漏洞的Apache Log4j 2则是目前该项目的最新版本，由于其优异的性能而被广泛的应用于各种常见的Web服务中。
也正因该项目本身应用广泛，而此次漏洞的修复滞后且利用门槛极低，再加上大量Web应用出于各种原因尚未甚至无法更新到最新安全版本，导致此次事件给整个互联网带来了极大的安全隐患。

文章图片

在野攻击
经过360的技术人员验证，确认目前放出的利用代码确实可以成功触发该漏洞，并且操作门槛并不高。

文章图片

同时， 360安全大脑的云端大数据也发现网络中已经出现了针对该漏洞的大量测试攻击，甚至已经开始出现试探性的在野攻击案例。这也再次印证了该漏洞极高的风险性和极大的覆盖范围。
解决方案
该事件影响范围广且危害极大，呼吁广大厂商和各种Web应用的使用者及时做出安全响应。 360安全大脑在此也给出如下安全建议：
常规方案
使用了Apache Log4j 2的用户，请将程序更新至官方最新安全版本（2.15.0-rc2）。下载地址如下:
https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2
临时应急方案
修改Log4j配置：
log4j2.formatMsgNoLookups=True
设置JVM启动参数：
-Dlog4j2.formatMsgNoLookups=true
设置环境变量：
FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS值为true
可以提高安全性的周边设置
以下设置或操作可能会对防护此次安全事件起到作用，但无法确保安全。建议结合实际应用场景进行配置：
1. 使用尽可能更高版本的JDK
2. 使用rasp阻断lookup的调用
3. 使用waf对流量中的${jndi进行拦截
4. 禁止所有不必要的外连数据。
360安全大脑防护
【项目|紧急！Apache Log4j 2漏洞播报】

文章图片

项目|紧急！Apache Log4j 2漏洞播报

推荐阅读

如何找寻自我

缝纫机调线器怎么安装平车方法如何

强组词强字组词

火笋鸡翅的做法（增肥食谱）

闺女生日快乐祝福语朋友圈

LV请来潮牌设计师做艺术总监，看中的是啥

老虎豆怎么做好吃老虎豆图片怎样弄来吃

暖气有流水声是什么原因

皮球是什么体

手机怎样开通QQ空间

男生发mua说明 mua是什么意思

手指盖凹陷怎么回事

对自己的生活失去掌控咋调整

小米10s怎么没有月亮模式

我想找个偏僻的地方搞养殖！有没有推荐的地方？

南京养老金认证上门服务怎么申请南京市养老金认证

如何评价猪场阉割猪？

最后一个字是豹的成语

泰山散酒怎么样

猫发情的声音(猫发情的叫声)