Apache Log4j曝高危漏洞,已发现近万次攻击

转载自微步X情报社区

一、概要
近日, Apache Log4j 的远程代码执行漏洞细节被公开,该漏洞一旦被攻击者利用会造成严重危害。经过快速分析和确认,该漏洞影响范围极其广泛,危害极其严重,我们建议企业第一时间启动应急响应进行修复。此外,经过我们复现和验证,微步在线威胁感知产品(TDP)已于数月前支持对该漏洞的检出,同时主机检测与响应产品(OneEDR)已支持检测利用该漏洞的入侵行为,无需任何更新

二、漏洞情况
Apache Log4j2 是一款开源的 Java 日志记录工具,大量的业务框架都使用了该组件。此次漏洞是用于 Log4j2 提供的 lookup 功能造成的,该功能允许开发者通过一些协议去读取相应环境中的配置。但在实现的过程中,并未对输入进行严格的判断,从而造成漏洞的发生。

此次受影响版本如下:
Log4j版本
2.x<=2.14.1

可能的受影响应用包括但不限于如下:
Spring-Boot-strater-log4j2
Apache Struts2
Apache Solr
Apache Flink
Apache Druid
ElasticSearch
flume
dubbo
Redis
logstash
kafka

三、漏洞评估
公开程度:漏洞细节已公开利用条件:无权限要求交互要求:0 click漏洞危害:高危、远程代码执行影响范围:Log4j2.x <= 2.14.1

四、检测及修复方案
1、紧急缓解措施:
(1) 修改jvm参数 -Dlog4j2.formatMsgNoLookups=true

(2) 修改配置log4j2.formatMsgNoLookups=True

(3) 将系统环境变量 FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS 设置为 true

2、检测方案:
(1)由于攻击者在攻击过程中可能使用 DNSLog 进行漏洞探测,建议企业可以通过流量监测设备监控是否有相关 DNSLog 域名的请求,微步在线的 OneDNS 也已经识别主流 DNSLog 域名并支持拦截。

(2)根据目前微步在线对于此类漏洞的研究积累,我们建议企业可以通过监测相关流量或者日志中是否存在“jndi:ldap://”、“jndi:rmi”等字符来发现可能的攻击行为。

3、修复方案:

Apache Log4j 2.15.0-rc1 版本存在漏洞绕过,请及时更新最新安全版本 2.15.0-rc2 :https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2

五、时间线
2021.12.09 —— 漏洞细节被公开

点赞

分割线QAQ~~~~~~~~~~~~~~~~~~~~~~~

旧版评论(请先登录):

发表评论

电子邮件地址不会被公开。必填项已用 * 标注