Apache Log4j反序列化代码执行误差危害通告

宣布时间 2019-12-24

误差编号和级别


CVE编号：CVE-2019-17571，危险级别：高危，CVSS分值：官方未评定


影响版本


Apache Log4j 1.2.27及之前版本


误差概述


Apache Log4j是美国阿帕奇（Apache）软件基金会的一款基于Java的开源日志纪录工具。


Apache Log4j中包括一个 SocketServer 类，它容易受到不可信数据反序列化的攻击，当使用反序列化小工具监听不可信网络通讯流以获取日志数据时，攻击者可以使用它远程执行恣意代码。


误差验证


暂无POC/EXP。


修复建议


Apache官方已在新版本修复了该误差，Apache Log4j 1.2 版本官方已于2015年8月阻止维护，建议升级到 2.8.2 或更高版本：http://logging.apache.org/log4j/2.x/index.html。


参考链接


https://www.openwall.com/lists/oss-security/2019/12/19/2