【漏洞预警】Apache日志记录组件Log4j反序列化漏洞影响所有2.x版本

开源的东西用的人多了，自然漏洞就多。Apache用于日志记录的组件Log4j使用非常灵活，在相当多的开源项目中都有使用，此次漏洞影响所有Apache Log4j 2.*系列版本： Apache Log4j 2.0-alpha1 – Apache Log4j 2.8.1，使用Java 7+的用户应立即升级至2.8.2版本。绿盟科技发布安全威胁通告，通告全文如下。

Apache Log4j是什么

Log4j是Apache的一个开源项目，通过使用Log4j，我们可以控制日志信息输送的目的地是控制台、文件、GUI组件，甚至是套接口服务器、NT的事件记录器、UNIX Syslog守护进程等；我们也可以控制每一条日志的输出格式；通过定义每一条日志信息的级别，我们能够更加细致地控制日志的生成过程。最令人感兴趣的就是，这些可以通过一个配置文件来灵活地进行配置，而不需要修改应用的代码。

绿盟科技《 Apache Log4j反序列化漏洞安全威胁通告 》

通告全文如下

北京时间18日清晨，Apache Log4j 被曝出存在一个反序列化漏洞(CVE-2017-5645)。攻击者可以通过发送一个特别制作的2进制payload，在组件将字节反序列化为对象时，触发并执行构造的payload代码。该漏洞主要是由于在处理ObjectInputStream时，接收器对于不可靠来源的input没有过滤。可以通过给TcpSocketServer和UdpSocketServer添加可配置的过滤功能以及一些相关设置，可以有效的解决该漏洞。目前Log4j官方已经发布新版本修复了该漏洞。

相关地址：

http://cve.mitre.org/cgi-bin/cvename.cgi?name=%09CVE-2017-5645 

https://issues.apache.org/jira/browse/LOG4J2-1863 

http://seclists.org/oss-sec/2017/q2/78 

影响范围

受影响的版本

所有Apache Log4j 2.*系列版本： Apache Log4j 2.0-alpha1 – Apache Log4j 2.8.1

不受影响的版本： Apache Log4j 2.8.2

规避方案

使用Java 7+的用户应立即升级至2.8.2版本或者避免使用socket server的相关类。参考链接：

https://issues.apache.org/jira/browse/LOG4J2/fixforversion/12339750/?selectedTab=com.atlassian.jira.jira-projects-plugin:version-summary-panel 

使用Java 6的用户应该避免使用TCP或者UDP 的socket server相关类，用户也可以手动添加2.8.2版本更新的相关代码来解决该漏洞。

参考链接

https://git-wip-us.apache.org/repos/asf?p=logging-log4j2.git;h=5dcc192