Apache Log4j2远程代码执行漏洞（CNVD-2021-95914）一、漏洞情况分析二、漏洞影响范围三、漏洞处置建议原文链接

一、漏洞情况分析

  Apache Log4j是一个基于Java的日志记录组件。Apache Log4j2是Log4j的升级版本，通过重写Log4j引入了丰富的功能特性。该日志组件被广泛应用于业务系统开发，用以记录程序输入输出日志信息。

  2021年11月24日，阿里云安全团队向Apache官方报告了Apache Log4j2远程代码执行漏洞。由于Log4j2组件在处理程序日志记录时存在JNDI注入缺陷，未经授权的攻击者利用该漏洞，可向目标服务器发送精心构造的恶意数据，触发Log4j2组件解析缺陷，实现目标服务器的任意代码执行，获得目标服务器权限。

CNVD对该漏洞的综合评级为“高危”。

二、漏洞影响范围

漏洞影响的产品版本包括：

  Apache Log4j2 2.0 - 2.15.0-rc1

三、漏洞处置建议

  目前，Apache官方已发布新版本完成漏洞修复，CNVD建议用户尽快进行自查，并及时升级至最新版本：

https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2

建议同时采用如下临时措施进行漏洞防范：

1）添加jvm启动参数**-Dlog4j2.formatMsgNoLookups=true**；

2）在应用classpath下添加log4j2.component.properties配置文件，文件内容为log4j2.formatMsgNoLookups=true；

3）JDK使用11.0.1、8u191、7u201、6u211及以上的高版本；

4）部署使用第三方防火墙产品进行安全防护。

  建议使用如下相关应用组件构建网站的信息系统运营者进行自查，如Apache Struts2、Apache Solr、Apache Druid、Apache Flink等，发现存在漏洞后及时按照上述建议进行处置。
附：参考链接：

https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2

感谢北京知道创宇信息技术股份有限公司、北京神州绿盟科技有限公司、杭州安恒信息技术股份有限公司、北京鸿腾智能科技有限公司和奇安信科技集团股份有限公司为本报告提供的技术支持。

原文链接

https://mp.weixin.qq.com/s/cWD46F0yyCy3F0u9SjBnEg

最后

以上就是安详翅膀为你收集整理的Apache Log4j2远程代码执行漏洞（CNVD-2021-95914）一、漏洞情况分析二、漏洞影响范围三、漏洞处置建议原文链接的全部内容，希望文章能够帮你解决Apache Log4j2远程代码执行漏洞（CNVD-2021-95914）一、漏洞情况分析二、漏洞影响范围三、漏洞处置建议原文链接所遇到的程序开发问题。

如果觉得靠谱客网站的内容还不错，欢迎将靠谱客网站推荐给程序员好友。