Apache Log4j2 远程代码执行漏洞风险紧急通告-低调大师

Apache Log4j2 远程代码执行漏洞风险紧急通告

2021-12-10 866

腾讯安全注意到，一个Apache Log4j2 的高危漏洞细节被公开，攻击者利用漏洞可以远程执行代码。

漏洞描述：

腾讯安全注意到，一个Apache Log4j2反序列化远程代码执行漏洞细节已被公开，Log4j-2中存在JNDI注入漏洞，当程序将用户输入的数据进行日志记录时，即可触发此漏洞，成功利用此漏洞可以在目标服务器上执行任意代码。

Apache Log4j2是一个基于Java的日志记录工具。该工具重写了Log4j框架，并且引入了大量丰富的特性。该日志框架被大量用于业务系统开发，用来记录日志信息。大多数情况下，开发者可能会将用户输入导致的错误信息写入日志中。

因该组件使用极为广泛，利用门槛很低，危害极大，腾讯安全专家建议所有用户尽快升级到安全版本。

漏洞编号：暂缺

漏洞等级：

高危，该漏洞影响范围极广，危害极大。

CVSS评分：10（最高级）

漏洞状态：

受影响的版本：

Apache log4j2 2.0 - 2.14.1 版本均受影响。

安全版本：

Apache log4j-2.15.0-rc1

漏洞复现与验证：

腾讯安全专家已第一时间对该漏洞进行复现验证

漏洞修复方案：

Apache官方已发布补丁，腾讯安全专家建议受影响的用户尽快升级到安全版本。

补丁下载地址：

https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc1

漏洞缓解措施：

（1）jvm参数 -Dlog4j2.formatMsgNoLookups=true

（2）log4j2.formatMsgNoLookups=True

微信关注我们

原文链接：https://www.oschina.net/news/172999

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

神秘奖项 1：优秀中国开源原生创企

中国开源软件生态蓬勃发展，近年来涌现出了一大批优秀的开源软件创企，他们不忘初心，深耕开源，回馈社区，为中国开源软件事业添砖加瓦，成为全球开源软件生态中不可忽视的重要力量。为表彰这些开源创企对开源社区的卓越贡献，并让更多的开发者认识和了解这些优质的开源创业团队，为中国开源创业者树立行业榜样，我们在今年的开源软件评选活动中特别设置了“优秀中国开源原生创企”奖项。所谓“开源原生创企”，是指公司基于开源项目而成立，围绕以下商业模式运作：团队围绕自建开源项目提供商业服务，或团队基于上游开源项目提供商业服务目前我们已经筛选了一批公司，但为避免遗漏，同时也需要所有公司确认相关信息（以及提供最新 logo 等信息），现发出征集通告。如果你是“中国开源原生创企”，欢迎来撩！联系方式（添加好友请备注公司名称+开源创企奖）时间节点征集时间：即日起 - 12 月 17 日获奖名单会在 2021 年度 OSC 中国开源项目评选页面公布： https://www.oschina.net/project/top_cn_2021 注意事项 1.本活动由 OSCHINA 发起。 2.参与项...

2021-12-10

485

近日，武汉华工安鼎信息技术有限责任公司（以下简称“华工安鼎”）签署 CLA（Contributor License Agreement 贡献者许可协议），正式加入欧拉开源社区，未来将积极参与社区合作，与行业内的生态伙伴共建创新平台，推动行业生态繁荣发展。华工安鼎成立于 1999 年，是专业提供信息安全产品及信息安全服务的高新技术企业，华工安鼎在数据安全领域不懈努力，持续成长，已在数据安全、云安全和人工智能方面形成了具有特色的系列安全产品和解决方案。可为政府、军工、央企等重点行业及领域提供以分级保护、等级保护、商业秘密保护为核心的信息安全整体解决方案与系列产品。华工安鼎在信息安全领域潜心耕耘，20 年磨一剑，构建了以数据标识为核心技术的文档全生命周期保护、文档智能分类分级、数据脱敏及隐写溯源、文档大数据态势感知、云原生安全等解决方案，为行业用户提供以数据为核心的自主创新、自主可控的一流产品和服务，加入欧拉开源社区，华工安鼎期待与业界同仁一起，为国家信息安全做出更大的贡献。

2021-12-10

588

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。