Log4j爆核弹级漏洞,公司炸锅了...
12月9日一直到现在技术圈可谓是炸锅了,所有人都在关注着一个漏洞:Apache Log4j 2 远程代码执行。该漏洞一旦被攻击者利用会造成严重危害。
图片来自 Pexels
由于该组件广泛应用在各个 Java 程序中,影响范围极大,排查难度大,危害性很高,很多互联网公司的程序员们熬夜加班急修复。
漏洞简介
Apache Log4j 2 是一款优秀的 Java 日志框架。该工具重写了 Log4j 框架,并且引入了大量丰富的特性。该日志框架被大量用于业务系统开发,用来记录日志信息。
由于 Apache Log4j 2 某些功能存在递归解析功能,攻击者可直接构造恶意请求,触发远程代码执行漏洞。
漏洞危害
漏洞利用无需特殊配置,攻击者可直接构造恶意请求,触发远程代码执行漏洞。
影响范围
Apache Log4j 2.x <= 2.14.1
修复措施
建议排查 Java 应用是否引入 log4j-api , log4j-core 两个 jar,若存在使用,极大可能会受到影响,强烈建议受影响用户尽快进行防护。
①升级 Apache Log4j 2 所有相关应用到最新的 log4j-2.15.0-rc2 版本,地址如下:
- https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2
②升级已知受影响的应用及组件,如:
- spring-boot-strater-log4j2
- Apache Solr
- Apache Flink
- Apache Druid
- ......
紧急缓解措施
如果还来不及更新版本修复,可通过下面的方法紧急缓解问题:
①修改jvm参数 -Dlog4j2.formatMsgNoLookups=true
②修改配置:log4j2.formatMsgNoLookups=True
③将系统环境变量 FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS 设置为 true
更多信息来自:东方联盟网 vm888.com
>更多相关文章
- 03-06俄乌冲突快讯:乌克兰网站被攻击数量超十倍
- 02-23开放式银行创新:开发人员与网络犯罪分子之间的竞赛
- 02-23数据泄露后信息会怎样?
- 02-23四个首创 冬奥网络安全“黑科技”面面观
- 02-23炊具巨头Meyer披露了影响员工的网络攻击
- 01-18净化网络空间 保护信息安全
- 01-18如何加固基于云端凭据的身份认证
- 01-18为什么代码安全扫描还不足够
首页推荐
佛山市东联科技有限公司一直秉承“一切以用户价值为依归
- 01-11全球最受赞誉公司揭晓:苹果连续九年第一
- 12-09罗伯特·莫里斯:让黑客真正变黑
- 12-09谁闯入了中国网络?揭秘美国绝密黑客小组TA
- 12-09警示:iOS6 惊现“闪退”BUG
- 08-07武汉智能网联汽车测试场全面竣工
- 08-07一季度我国支付体系运行平稳
- 08-07我国企业承接服务外包合同额上半年同比增长
- 07-19外媒:通用电气发布三家计划独立上市公司的
- 07-19云深处发布“绝影X20-消防侦察机器狗”解决
相关新闻
24小时热门资讯
24小时回复排行
热门推荐
最新资讯
操作系统
黑客防御