【又出新洞】Apache Log4j多个高危漏洞处置手册

3.1  人工检测

1、相关用户可根据Java jar解压后是否存在org/apache/logging/log4j相关路径结构，判断是否使用了存在漏洞的组件，若存在相关Java程序包，则很可能受漏洞影响。

2、若程序使用Maven打包，可查看项目的pom.xml文件中是否存在下图所示的相关字段，若版本号为小于2.15.1，则应用受漏洞影响。

3、若程序使用gradle打包，可查看build.gradle编译配置文件，若在dependencies部分存在org.apache.logging.log4j相关字段，且版本号为小于2.15.1，则应用受漏洞影响。

3.2  攻击排查

1、攻击者在利用漏洞前通常采用dnslog方式进行扫描、探测，常见的漏洞利用方式可通过应用系统报错日志中的"javax.naming.CommunicationException"、"javax.naming.NamingException: problem generating object using object factory"、"Error looking up JNDI resource"关键字进行排查。

2、攻击者发送的数据包中可能存在"${jndi:}" 字样，推荐使用全流量或WAF设备进行检索排查。

3.3  产品检测

绿盟科技远程安全评估系统（RSAS）与WEB应用漏洞扫描系统(WVSS)、工控漏洞扫描系统（ICSScan）、网络入侵检测系统（IDS）、综合威胁探针（UTS）已具备对CVE-2021-44228漏洞的扫描与检测能力，请有部署以上设备的用户升级至最新版本。

关于RSAS的升级配置指导，请参考如下链接：

https://mp.weixin.qq.com/s/SgOaCZeKrNn-4uR8Yj_C3Q

3.4  申请云检测

绿盟科技面向用户提供远程检测服务，因该漏洞的检测存在一定风险，相关客户如需要申请云检测，请联系销售或项目经理沟通，或用个人的公司邮箱发邮件至[email protected]，在正文中提供需要扫描的资产清单，可以扫描的时间，联系方式，服务人员会与您联系。

7x24h客服咨询热线：400-818-6868转2

4.1  官方升级

目前官方已针对上述漏洞发布多个修复版本，不同版本更新内容略有不同，受影响用户可根据不同需求选择对应的版本升级，下载链接：https://github.com/apache/logging-log4j2/tags

注：1、官方在Apache Log4j 2.15.0-rc1版本中已将log4j2.formatMsgNoLookups默认设置为true，在不手动开启Lookup的情况下，Log4j 2.15.0-rc1版本不受CVE-2021-44228漏洞的影响。

2、建议受影响用户将Apache Log4j所有相关应用升级到Apache Log4j 2.17.0-rc1（测试版）或Apache Log4j 2.17.0（稳定版）。

3、推荐优先选择稳定版升级，Java 7环境的用户可升至Apache Log4j 2.12.3修复。

4、防止升级过程出现意外，建议相关用户在备份数据后再进行操作。

5、升级供应链中已知受影响的应用及组件：见前文《二、影响范围》的供应链影响范围。

4.2  产品防护

针对上述漏洞，绿盟科技网络入侵防护系统(IPS)、WEB应用防护系统(WAF)与下一代防火墙 (NF)已发布规则升级包，请相关用户升级规则包至最新版，以形成安全产品防护能力。安全防护产品规则版本号如下：

产品规则升级的操作步骤详见如下链接：

IPS：https://mp.weixin.qq.com/s/DxQ3aaap8aujqZf-3VbNJg

WAF：https://mp.weixin.qq.com/s/7F8WCzWsuJ5T2E9e01wNog

NF：https://mp.weixin.qq.com/s/R3k_KJm4O52bxy794jjo4A

4.3  临时防护措施

若相关用户暂时无法进行升级操作，可先用下列措施对上述漏洞进行临时缓解：

Apache Log4j远程代码执行漏洞（CVE-2021-44228）临时防护：

1、添加jvm参数启动：-Dlog4j2.formatMsgNoLookups=true

2、在应用的classpath下添加log4j2.component.properties配置文件，文件内容为：log4j2.formatMsgNoLookups=true

3、设置系统环境变量 LOG4J_FORMAT_MSG_NO_LOOKUPS=true

4、使用下列命令，移除log4j-core包中的JndiLookup 类文件：

注：当且仅当Apache Log4j >= 2.10版本时，可使用1、2、3、4的任一措施进行防护。

5、Apache Log4j 2.7 及以上的版本，可在PatternLayout配置中使用%m{nolookups}对漏洞进行缓解。

6、采用人工方式禁用JNDI，例：在spring.properties中添加spring.jndi.ignore=true

7、建议使用JDK在11.0.1、8u191、7u201、6u211及以上的高版本，可在一定程度上缓解代码执行的利用。

8、限制受影响应用对外访问互联网，并在边界对dnslog相关域名的访问进行检测。

部分公共dnslog平台如下：

ceye.io

dnslog.link

dnslog.cn

dnslog.io

tu4.org

burpcollaborator.net

s0x.cn

Apache Log4j JMSAppender 反序列化代码执行漏洞（CVE-2021-4104）临时防护：

1）注释掉或删除 Log4j 配置中的 JMSAppender。

2）使用下列命令，从log4j jar包中删除 JMSAppender 类文件：

3）限制系统用户对应用程序平台的访问，以防止攻击者修改 Log4j 的配置。

Apache Log4j DoS漏洞（CVE-2021-45046）临时防护：

使用下列命令，移除log4j-core包中的JndiLookup 类文件：

Apache Log4j Dos漏洞（CVE-2021-45105）临时防护：

1）在日志记录配置的 PatternLayout 中，用线程上下文映射模式（%X、%mdc 或 %MDC）替换 ${ctx:loginId} 或 $${ctx:loginId} 等上下文查找。

2）在配置中删除对上下文查找的引用，如 ${ctx:loginId} 或 $${ctx:loginId}。

4.4  平台监测

绿盟安全管理平台（ESP-H）与绿盟智能安全运营平台（ISOP）已经具备针对此漏洞的检测能力，部署有绿盟科技平台类产品的用户，可实现对上述漏洞的平台监测能力。