Apache Log4j反序列化代码执行缝隙风险公告

颁布功夫 2019-12-24

缝隙编号和级别


CVE编号：CVE-2019-17571  ，危险级别：高危  ，CVSS分值：官方未评定


影响版本


Apache Log4j 1.2.27及之前版本


缝隙概述


Apache Log4j是美国阿帕奇（Apache）软件基金会的一款基于Java的开源日志纪录工具。


Apache Log4j中蕴含一个 SocketServer 类  ，它容易受到不成信数据反序列化的攻击  ，当使用反序列化幼工具监听不成信网络通讯流以获取日志数据时  ，攻击者能够利用它远程执行肆意代码。


缝隙验证


暂无POC/EXP。


建复建议


Apache官方已在新版本建复了该缝隙  ，Apache Log4j 1.2 版本官方已于2015年8月终场守护  ，建议升级到 2.8.2 或更高版本：http://logging.apache.org/log4j/2.x/index.html。


参考链接


https://www.openwall.com/lists/oss-security/2019/12/19/2