2 min read
继 CVE-2021-44228 之后，已提交了第二个 Log4J CVE：CVE-2021-45046。我们之前针对 CVE-2021-44228 发布的规则针对这个新的 CVE 提供相同级别的保护。
鉴于此漏洞被广泛地利用，使用 Log4J 的任何人士都应该尽快更新到版本 2.16.0，即使您之前已更新到 2.15.0。最新版本可在 Log4J 下载页面上找到。
使用 Cloudflare WAF 的客户可遵循三条规则来帮助缓解任何漏洞利用企图：
| 规则 ID | 描述 | 默认操作 |
|---|---|---|
100514 (旧版 WAF)6b1cc72dff9746469d4695a474430f12 (新版 WAF) |
Log4J 标头 | 阻止 |
100515 (旧版 WAF)0c054d4e4dd5455c9ff8f01efe5abb10 (新版 WAF) |
Log4J 主体 | 阻止 |
100516 (旧版 WAF)5f6744fa026a4638bda5b3d7d5e015dd (新版 WAF) |
Log4J URL | 阻止 |
漏洞风险通过三条规则缓解，分别检查 HTTP 标头、主体和 URL。
除了上述规则之外，我们还发布了第四条规则，用于防御广泛得多的一系列攻击，其代价是更高的误报率。为此，我们提供了该规则，但未将其默认设置为 BLOCK：
| 规则 ID | 描述 | 默认操作 |
|---|---|---|
100517 (旧版 WAF)2c5413e155db4365befe0df160ba67d7 (新版 WAF) |
Log4J 高级 URI，标头 | 禁用 |
受影响的对象
Log4J 是基于 Java 的功能强大的组件，提供日志记录库，由 Apache Software Foundation 维护。
在不低于 2.0-beta9 且不高于 2.14.1 的所有 Log4J 版本中，攻击者可以利用配置、日志消息和参数中的 JNDI 功能进行远程代码执行。具体来说，攻击者只要能控制日志消息或日志消息参数，就可以在启用消息查找替换的情况下，执行从 LDAP 服务器加载的任意代码。
此外，之前针对 CVE-2021-22448 的缓解措施（如 2.15.0 中所看到的那样）不足以防御 CVE-2021-45046。