Log4j2 再一次爆出“核弹级” 远程数据泄露漏洞

原创 HuangLongPu     发表于  2021-12-20 12:46       123
原文链接:

最近的 Log4j2 漏洞想必大家都知道了,11月9日晚开源项目 Apache Log4j 2 的一个远程代码执行漏洞的利用细节被公开,随着 Apache Log4j 2.15.0 正式版发布,该漏洞已得到解决。

然而,安全公司 Praetorian 在博客宣布,他们在 Apache Log4j 2.15.0 版本又发现了一个远程数据泄露的漏洞,可用于从受影响的服务器下载数据。

Apache Log4j2 是一款优秀的 Java 日志框架。该工具重写了 Log4j 框架,并且引入了大量丰富的特性。该日志框架被大量用于业务系统开发,用来记录日志信息。大多数情况下,开发者可能会将用户输入导致的错误信息写入日志中。

Praetorian 表示,他们已将该问题的技术细节传递给 Apache 基金会,但在此期间,Praetorian 强烈建议用户尽快升级到 2.16.0。

Praetorian 将实行负责任的披露,因此目前不会公开分享技术细节,以免出现更大的问题。

Log4j2 2.16.0 版本关键特性:

LOG4J2-3208:默认禁用 JNDI。需要 设置为 以允许 JNDI。LOG4J2-3211:完全删除对消息查找的支持。

Apache Log4j 2.16.0 至少需要 Java 8 才能构建和运行。Log4j 2.12.1 是最后一个支持 Java 7 的版本。Java 7 不是Log4j 团队的长期支持版本。

相关文章

HuangLongPu
5
25042/45000
文章数
184
阅读量
99027
原创
142
广告
公众号
QQ讨论群