apache Log4j2 漏洞修复建议-技术分享-云码素材

apache Log4j2 漏洞修复建议

发布于：2021-12-14 14:55 阅读次数：1020 作者：云码素材分类：技术分享关键词：Log4j2 apache

确认受影响的组件

在线查询方案

可能的受影响应用及组件（包括但不限于）如下：

Apache Solr、Apache Flink、Apache Druid、Apache Struts2、srping-boot-strater-log4j2、Elasticsearch、flume、dubbo、Redis、logstash、kafka...

更多组件可参考如下链接：

https://mvnrepository.com/artifact/org.apache.logging.log4j/log4j-core/usages?p=1

不受影响版本：Apache log4j-2.15.0-rc2

本地查询方案

系统层面查找是否存在相应的程序安装包：
find . -iname "log4j*.jar"
确认程序运行时是否加载相应的jar包
lsof -p pid | grep log4j*
注意：程序必须处于运行状态，且知晓对应的pid进程，之后按照进程查找...

后台查询方案

请提供对应的应用程序jar包，后台协助进行检测...

可行性修复建议

临时性缓解措施

临时性缓解措施（任选一种，但是注意，只有log4j版本 >=2.10.0 版本才可以用，老版本不支持这个选项）

在 jvm 参数中添加 -Dlog4j2.formatMsgNoLookups=true

注意：

须知道具体的应用和对应的启动脚本，在启动脚本中进行修改...

创建 log4j2.component.properties 文件，文件中增加配置 log4j2.formatMsgNoLookups=true

注意：

该方案也必须清楚具体应用环境，且一般由应用厂商进行调整即可！

彻底修复漏洞:

方案一

研发代码修复：升级到官方提供的 log4j-2.15.0-rc2 版本

方案二

生产环境修复：https://github.com/zhangyoufu/log4j2-without-jndi
方式1: 使用 zip 命令从 JAR 包中删除 JndiLookup.class（推荐）
zip -q -d '这里填写JAR包路径' org/apache/logging/log4j/core/lookup/JndiLookup.class
方式2: 使用本仓库 log4j2-core 目录下同名 JAR 包替换本仓库的 JAR 包来自 maven 仓库，仅敲除 JndiLookup.class，没有其它任何改动。在确认文件名相同的情况下，可直接替换文件。
寻找部署目录下的 log4j2-core 组件
find . -name '*log4j-core*.jar'
对找到的 log4j2-core JAR 包实施缓解措施

重启应用程序后缓解措施生效

注：该缓解手段得到 log4j2 官方认可：
其他缓解措施：

https://github.com/Glavo/log4j-patch (插入 classpath 覆盖原有实现)

https://github.com/LoliKingdom/NukeJndiLookupFromLog4j (运行时删除 "jndi" 处理)

JVM 参数 -Dlog4j2.formatMsgNoLookups=true 或环境变量 LOG4J_FORMAT_MSG_NO_LOOKUPS=true (仅适用于 log4j-core ≥ 2.10)

入群分享

我要加群：资源共享的时代，不要再单打独斗！加小编微信号加入群：xnynews(备注：云码素材入群)，qq群号：202498279,一起技术学习，资源分享！

免责声明

本站提供的一切软件、教程和内容信息仅限用于学习和研究目的；不得将上述内容用于商业或者非法用途，否则，一切后果请用户自负。本站信息来自网络收集整理，版权争议与本站无关。您必须在下载后的24个小时之内，从您的电脑或手机中彻底删除上述内容。如果您喜欢该程序和内容，请支持正版，购买注册，得到更好的正版服务。我们非常重视版权问题，如有侵权请邮件与我们联系处理。敬请谅解！

原创声明：本站所有资源如果标明原创的为云码素材已测试或原创开发项目,可提供有偿技术服务,如标明为收集,为网络收集资源，网路收集资源不提供任何技术支持和服务,网络虚拟资源,一经售出,概不退货,请购买前认真看清资源详情说明。