Apache Log4j2远程代码执行漏洞(CNVD-2021-95919)

Apache Log4j 是一个基于Java的日志记录组件，Apache Log4j2 是Log4j的升级版本，通过重写Log4j引入了丰富的功能特性。该日志组件被广泛应用于业务系统开发，用以记录程序输入输出日志信息。

解决方案

官方补丁

目前，Apache官方已发布新版本完成漏洞修复，请及时升级至最新版本2.16.0，下载链接。

临时方案

以下方案任选一种：

1、添加jvm启动参数：-Dlog4j2.formatMsgNoLookups=true

2、在应用classpath下添加log4j2.component.properties配置文件，文件内容：log4j2.formatMsgNoLookups=true

3、JDK使用11.0.1、8u191、7u201、6u211及更高版本

4、限制受影响应用对外访问互联网

5、禁用JNDI。如在spring.properties里添加：spring.jndi.ignore=true

6、部署使用第三方防火墙产品进行安全防护，并更新WAF、RASP规则等

原创文章禁止转载：技术学堂 » Apache Log4j2远程代码执行漏洞(CNVD-2021-95919)