log4j漏洞解决办法

漏洞详情

Apache Log4j2是一款优秀的Java日志框架。2021年11月24日，阿里云安全团队向Apache官方报告了Apache Log4j2远程代码执行漏洞。由于Apache Log4j2某些功能存在递归解析功能，攻击者可直接构造恶意请求，触发远程代码执行漏洞。漏洞利用无需特殊配置，经阿里云安全团队验证，Apache Struts2、Apache Solr、Apache Druid、Apache Flink等均受影响。阿里云应急响应中心提醒 Apache Log4j2 用户尽快采取安全措施阻止漏洞攻击。

受影响的版本

所有Apache Log4j 2.*系列版本：
Apache Log4j 2.0-alpha1 – Apache Log4j 2.8.1

不受影响的版本

Apache Log4j 2.8.2

修复及建议

尽快通过参考链接中官网地址升级到最新版本：

https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2

配置网络防火墙，禁止系统主动外连网络，包含不限于DNS、TCP/IP、ICMP。

升级已知受影响的应用及组件，如srping-boot-strater-log4j2、ApacheSolr、Apache Flink、Apache Druid。

紧急加固缓解措施：

①设置参数：

log4j2.formatMsgNoLookups=True

②修改JVM参数：

-Dlog4j2.formatMsgNoLookups=true

③系统环境变量：

FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS设置为true

④禁止 log4j2 所在服务器外连