网络安全预警通报
2021年第10期 （总第26期）
西安交通大学网络信息中心 2021年12月20日
_____________________________________________
【预警类型】高危预警
【预警内容】
Apache Log4j特定条件下可致拒绝服务的漏洞( CVE- 2021-45105 )风险通告
安全公告编号: CVE- 2021-45105
一、漏洞概述
Apache Log4j2版本2.0-alpha1到2.16.0没有防止自引用查找的不受控制的递归。当日志配置使用带有上下文查找的非默认模式布局(例如， $${ctx:loginld}) 时，控制线程上
下文映射(MDC)输入数据的攻击者可以制作包含递归查找的恶意输入数据，导致StackOverflowError将终止进程，这也称为DOS (拒绝服务)攻击。
专家建议受影响的用户升级到安全版本。
Apache Log4j2是-个基于Java的日志记录工具。该工具重写了Log4j框架，并且引入了大量丰富的特性。该日志框架被大量用于业务系统开发，用来记录日志信息。
二、受影响的版本
从2.0-beta9到2.16.0的所有版本
三、安全版本
Log4j 2.17.0 (Java 8)
四、漏洞缓解措施
Log4j 1.x缓解
Log4j 1.x不受此漏洞影响。
Log4j 2.x缓解
实施以下缓解技术之一:
Java8 (或更高版本)用户应升级到2.17.0版。或者，这可以在配置中缓解:在日志记录配置的PatternLayout中，用线程上下文映射模式(%X、 %mdc 或9%MDC)替换${tx:loginld}或$${tx:loginld} 等上下文查找。
否则，在配置中，删除对上下文查找的引用，如${ctx:loginld}或$${tx:loginld}，它们源 自应用程序外部的源，如HTTP标头或用户输入。
请注意，只有log4j-core JAR文件受此漏洞影响。仅使用log4j-api JAR文件而不使用log4j-core JAR文件的应用程序不受此漏洞的影响。
另请注意，Apache Log4j是唯一受此 漏洞影响的日志服务子项目。Log4net 和Log4cxx 等其他项目不受此影响。
参考链接:
https://logging.apache.org/log4j/2.x/security.html
