查看原文
其他

捅了Bug窝?Apache Log4j 出现第四个漏洞

罗奇奇 OSC开源社区 2024-06-26

文 | 罗奇奇

出品 | OSC开源社区(ID:oschina2013)

Apache Log4j 的 2.0-alpha1 到 2.16.0 版本存在新的漏洞 CVE-2021-45105 ,此漏洞评分 7.5 ,且在刚发布的 Log4j 2.17.0 (Java 8) 中得到了修复。如果把安全公司 Praetorian 发现的第三个信息泄露漏洞也算进去,这应该是 Log4j 的第四个漏洞了。
前三个漏洞:
CVE-2021-44228、CVE-2021-45046 和 Log4Shell 
漏洞详情
Apache Log4j2 版本 2.0-alpha1 到 2.16.0 没有防止自引用查找的不受控制的递归。当日志配置使用带有上下文查找的非默认模式布局(例如,$${ctx:loginId})时,控制线程上下文映射 (MDC) 输入数据的攻击者可以制作包含递归查找的恶意输入数据,导致 StackOverflowError 将终止进程。这也称为 DOS(拒绝服务)攻击。
缓解措施
从 2.17.0 版本(对于 Java 8)开始,只有配置中的查找字符串被递归扩展;在任何其他用法中,仅解析顶级查找,不解析任何嵌套查找。
在以前的版本中,可以通过确保您的日志记录配置执行以下操作来缓解此问题:
  • 在日志记录配置的 PatternLayout 中,用线程上下文映射模式(%X、%mdc 或 %MDC)替换 ${ctx:loginId} 或 $${ctx:loginId} 等上下文查找。

  • 否则,在配置中,删除对上下文查找的引用,如 ${ctx:loginId} 或 $${ctx:loginId},它们源自应用程序外部的源,如 HTTP 标头或用户输入。

Log4j 的漏洞有点像计算机世界的新冠,一波未平一波又起,还时不时出现一些变种...
延伸阅读:

连曝三大漏洞,你的Apache Log4j还好吗

炸锅了!Apache Log4j2 核弹级漏洞公开

Log4j2维护者吐槽没工资还要挨骂,GO安全负责人建议开源作者向公司收费

专家称 log4shell 漏洞将持续“数月甚至数年”

Apache Log4j 2.17.0 发布,解决第三个 DoS 漏洞

END




觉得不错,请点个在看

继续滑动看下一个
向上滑动看下一个

您可能也对以下帖子感兴趣

文章有问题?点此查看未经处理的缓存