[Критическое] Уязвимость удаленного выполнения кода в Apache Log4j с открытым исходным кодом

24 ноября 2021 года группа безопасности Alibaba Cloud сообщила официальным лицам Apache об уязвимости удаленного выполнения кода Apache Log4j2.

01 Описание уязвимости

Apache Log4j2 — отличная среда ведения журналов Java. 24 ноября 2021 года группа безопасности Alibaba Cloud сообщила официальным лицам Apache об уязвимости удаленного выполнения кода Apache Log4j2. Благодаря функции рекурсивного анализа некоторых функций Apache Log4j2 злоумышленники могут напрямую создавать вредоносные запросы и запускать уязвимости удаленного выполнения кода. Для использования этой уязвимости не требуется никакой специальной настройки.Команда безопасности Alibaba Cloud подтвердила, что уязвимости подвержены все Apache Struts2, Apache Solr, Apache Druid, Apache Flink и т. д. Центр реагирования на чрезвычайные ситуации в облаке Alibaba напоминает пользователям Apache Log4j2 о необходимости как можно скорее принять меры безопасности для предотвращения атак через уязвимости.

02Рейтинг уязвимости

Apache Log4j имеет серьезную уязвимость удаленного выполнения кода

Подробности об уязвимости PoC уязвимости Опыт уязвимости Эксплуатация в дикой природе

03 Затронутые версии

Apache Log4j 2.x <= 2.15.0-rc1

04 Советы по безопасности

1. Обновите все связанные приложения Apache Log4j2 до последней версии log4j-2.15.0-rc2, адрес: https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2.

2. Обновите известные уязвимые приложения и компоненты, такие как srping-boot-strater-log4j2/Apache Solr/Apache Flink/Apache Druid.

05 Ссылки по теме:
https://help.aliyun.com/noticelist/articleid/1060971232.html