颤抖吧 Javaer， log4j 史诗级漏洞

[eviladan0s]

漏洞预警： https://mp.weixin.qq.com/s/WBbAthHY36qY0w9e4UUl4Q

本质上是 log4j 里的 lookup 方法存在 jndi 注入（看图）： https://adan0s-1256533472.cos.ap-nanjing.myqcloud.com/uPic/20211210091200YOXTYd.jpg

百度、谷歌、苹果的框全都沦陷了： https://adan0s-1256533472.cos.ap-nanjing.myqcloud.com/uPic/202112100913225Wncr7.png

修复措施： 在 log4j2.component.properties 配置文件中设置 log4j2.formatMsgNoLookups=true ，可以暂时缓解避免受漏洞的影响。

之所以是史诗级，是因为不仅 log4j 使用范围广，而且日志数据你不知道流到哪里的 log4j 就会触发

[pigspy]

还是转向 logback 吧

[eviladan0s]

这个漏洞本不应该被直接公布的，但利用过于简单，昨晚成了脚本小子的狂欢

[midasfree]

这周值班一大早被呼起来屏蔽这个问题 绝了(╯°□°）╯︵ ┻━┻

[Philosophy6]

全线服务全都是 log4j2 ，GG

[hanssx]

这危害也太大了，老哥有原文吗？求分享

[buliugu]

还好用的 logback

[sagaxu]

昨天美团崩溃也是因为这个？

[Archeb]

别慌，只有低版本能盲打，高版本没那么好利用。看着吓人也只是 dnslog 而已

[conhost]

@pigspy logback 依赖 log4j 哦

[eviladan0s]

还有，许多知名组件也用到了 log4j ，如 Apache Struts2 ，Apache Solr ，Apache Flink ，Apache Druid 等等

[iold]

看了一下公司的屎山。还好只有官网是 Java ，log4j 还是远古版本，不知道升上来会带来哪些副作用...

[eviladan0s]

@Archeb 是的，高版本 jdk 默认禁用了远程加载，需要寻找本地 Gadget

[sagaxu]

只有写在 format string 里才能触发，作为参数传入则不会。而我们一般不会直接把日志内容写到 format string 中，所以不必慌。

[cedoo22]

还在用 log4j 1

[iold]

仔细看了一下，屎山用的远古版本不受影响，美滋滋。

[zhouyou457]

绝望的打出 GG

[qq1340691923]

之前服务器上是 java 程序在跑，腾讯云每隔一段时间就告警我们 jar 包有安全风险，需要升级，不然就停止服务，折腾几次后，我们换了 golang ，后面就没这个烦恼了

[gadfly3173]

@qq1340691923 #17 艹 这不只是让腾讯云没法检测而已嘛。。。

[itechnology]

还好用的 spring boot 自带的 logback

[gadfly3173]

@itechnology #19 spring boot 自带 log4j 版本是 2.14.1