
继 CVE-2021-44228 之后,已提交了第二个 Log4J CVE:CVE-2021-45046。我们之前针对 CVE-2021-44228 发布的规则针对这个新的 CVE 提供相同级别的保护。
鉴于此漏洞被广泛地利用,使用 Log4J 的任何人士都应该尽快更新到版本 2.16.0,即使您之前已更新到 2.15.0。最新版本可在 Log4J 下载页面上找到。
使用 Cloudflare WAF 的客户可遵循三条规则来帮助缓解任何漏洞利用企图:
规则 ID | 描述 | 默认操作 |
---|---|---|
100514 (旧版 WAF)6b1cc72dff9746469d4695a474430f12 (新版 WAF) |
Log4J 标头 | 阻止 |
100515 (旧版 WAF)0c054d4e4dd5455c9ff8f01efe5abb10 (新版 WAF) |
Log4J 主体 | 阻止 |
100516 (旧版 WAF)5f6744fa026a4638bda5b3d7d5e015dd (新版 WAF) |
Log4J URL | 阻止 |
漏洞风险通过三条规则缓解,分别检查 HTTP 标头、主体和 URL。
除了上述规则之外,我们还发布了第四条规则,用于防御广泛得多的一系列攻击,其代价是更高的误报率。为此,我们提供了该规则,但未将其默认设置为 BLOCK:
规则 ID | 描述 | 默认操作 |
---|---|---|
100517 (旧版 WAF)2c5413e155db4365befe0df160ba67d7 (新版 WAF) |
Log4J 高级 URI,标头 | 禁用 |
受影响的对象
Log4J 是基于 Java 的功能强大的组件,提供日志记录库,由 Apache Software Foundation 维护。
在不低于 2.0-beta9 且不高于 2.14.1 的所有 Log4J 版本中,攻击者可以利用配置、日志消息和参数中的 JNDI 功能进行远程代码执行。具体来说,攻击者只要能控制日志消息或日志消息参数,就可以在启用消息查找替换的情况下,执行从 LDAP 服务器加载的任意代码。
此外,之前针对 CVE-2021-22448 的缓解措施(如 2.15.0 中所看到的那样)不足以防御 CVE-2021-45046。