Am 24. November 2021 meldete das AliCloud-Sicherheitsteam eine Apache Log4j2-Schwachstelle zur Remotecodeausführung an die Apache-Beamten.
01 Schwachstelle Beschreibung
Am 24. November 2021 meldete das AliCloud-Sicherheitsteam den Apache-Beamten eine Schwachstelle in Apache Log4j2, die Remotecodeausführung ermöglicht. Aufgrund des Vorhandenseins von rekursivem Parsing in bestimmten Funktionen von Apache Log4j2 kann ein Angreifer direkt eine böswillige Anfrage konstruieren, um eine Sicherheitslücke für die Remotecodeausführung auszulösen. Es ist keine spezielle Konfiguration erforderlich, um die Schwachstelle auszunutzen, und Apache Struts2, Apache Solr, Apache Druid, Apache Flink usw. sind alle betroffen, wie das Sicherheitsteam von AliCloud bestätigt hat. Das Aliyun Emergency Response Centre erinnert die Nutzer von Apache Log4j2 daran, Sicherheitsmaßnahmen zu ergreifen, um den Angriff auf die Sicherheitslücke so schnell wie möglich zu stoppen.
02 Schwachstellenbewertungen
Apache Log4j Remote Code Execution-Schwachstelle Kritisch
![[Seriös] Open Source Apache Log4j Sicherheitslücke bei der Remotecodeausführung](https://cncso.com/wp-content/uploads/2021/12/burpsuite-1024x555.webp)
![[Seriös] Open Source Apache Log4j Sicherheitslücke bei der Remotecodeausführung](https://cncso.com/wp-content/themes/justnews/themer/assets/images/lazy.png)
Schwachstelle Details Schwachstelle PoC Schwachstelle EXP Exploit in the Wild
| Wasseruhr oder Sanduhr (alt)Null (eindeutige gesprochene Form beim Buchstabieren von Zahlen)dünn und weichKlassifikator für Segmente, z. B. Unterricht, Waggons, Bibelverse | Wasseruhr oder Sanduhr (alt)Null (eindeutige gesprochene Form beim Buchstabieren von Zahlen)PoC | Wasseruhr oder Sanduhr (alt)Null (eindeutige gesprochene Form beim Buchstabieren von Zahlen)EXP | existierenGrenzeNachname LiKosten oder Aufwand |
| Schwiegervaterausschreiben (ein Rezept, einen Scheck, eine Rechnung usw.) | Schwiegervaterausschreiben (ein Rezept, einen Scheck, eine Rechnung usw.) | Schwiegervaterausschreiben (ein Rezept, einen Scheck, eine Rechnung usw.) | überlebenexistieren |
03 Aufschlagversion
Apache Log4j 2.x <= 2.15.0-rc1
04 Sicherheitsempfehlungen
1, aktualisieren Sie Apache Log4j2 und alle zugehörigen Anwendungen auf die neueste Version log4j-2.15.0-rc2, Adresse: https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2
2, aktualisieren Sie bekanntermaßen betroffene Anwendungen und Komponenten, wie srping-boot-strater-log4j2/Apache Solr/Apache Flink/Apache Druid
05 Links.
https://help.aliyun.com/noticelist/articleid/1060971232.html
Originalartikel von AliCloud Security, bei Vervielfältigung bitte die Quelle angeben: https://cncso.com/de/apache-log4j-rce-verwundbarkeit-html
