首页 > TAG信息列表 > 44228
浅谈log4j2 CVE-2021-44228
致谢：此问题由阿里云安全团队的 Chen Zhaojun 发现。 什么是Log4j2 Apache Log4j2 <=2.14.1 版本提供的 JNDI 特性用于配置、日志信息、参数位置时，无法防护攻击者使用 ldap 或其他JNDI 相关断点的攻击行为。攻击者如果可以控制日志信息或日志信息参数，则可以在开启了 lookup substlog4j漏洞一键批量检测【CVE-2021-44228】
log4j批量检测(CVE-2021-44228) 实现思路： 1、python读取urls.txt所有应用资产 2、调用rad对urls页面进行爬虫 3、爬取到的数据包转发到burp 4、使用burp的log4j插件对数据包所有字段进行POC探测 需要工具： batch_rad.py rad【https://github.com/chaitin/rad】 burp插件(log4jSCVE 2021-44228 Log4j-2命令执行复现及分析
12月11日：Apache Log4j2官方发布了2.15.0 版本，以修复CVE-2021-44228。虽然 2.15.0 版本解决了Message Lookups功能和JNDI 访问方式的问题，但 Log4j团队认为默认启用 JNDI 存在安全风险，且2.15.0版本存在CVE-2021-45046漏洞。 12月13日：Apache Log4j2官方发布了Log4j 2.16.0版本（Java 8log4j-CVE-2021-44228
log4j JNDI漏洞CVE-2021-44228 针对于不同版本的解决方案
问题描述： Apache Log4j 2存在远程代码执行漏洞，攻击者可通过构造恶意请求利用该漏洞实现在目标服务器上执行任意代码 漏洞影响版本：2.0 <= Apache Log4j 2 <= log4j-2.15.0-rc1 看一下目前log4j的maven官方仓库版本，几乎是主流常用版本都受影响 解决方案： 试了一下网上几种方案，