Log4j 1：如何在不将版本更新为2.15的情况下缓解Log4j中的漏洞。0

Question

我使用的是log4j1.2。16.我将其用于maven selenium testng java项目。我正在寻找一个不升级log4j版本的解决方案。

<dependency>
    <groupId>log4j</groupId>
    <artifactId>log4j</artifactId>
    <version>1.2.16</version>
</dependency>

Answer 1

由于您使用的是log4j 1，因此不存在特定的漏洞。但是，请注意以下几点：http://slf4j.org/log4shell.html:

log4j 1. x是否存在漏洞？鉴于log4j版本1. x的部署仍然非常广泛，可能是log4j 2. x的10倍，我们收到了一系列关于log4j版本1. x漏洞的问题。

如log4j1所示。x不提供消息级别的JNDI查找机制，它不受CVE-2021-44228的影响。

但是，log4j 1. x附带了JMSAppender，如果在log4j的配置文件中启用，它将执行JNDI查找，即log4j.properties或log4j.xml.

已经对log4j配置文件具有写访问权限的攻击者需要将JMSAppender添加到被恶意连接参数毒害的配置中。请注意，先前合法使用JMSAppender与攻击者成功发起攻击的能力无关。

还要注意的是，仅对配置文件下毒是不够的。攻击者还需要强制log4j重新加载带有有毒参数的配置文件。考虑到log4j1。x不提供自动重新加载，中毒的配置文件通常只在应用程序重新启动时生效。

然而，这种攻击虽然不容易，但也不是不可能的。因此，通过从log4j-1.2.17.jar.中完全删除JMSAppender，使攻击者的工作更加困难是有意义的

在没有新的log4j 1的情况下。在x版本中，您可以从log4j-1.2中删除JMSAppender。17.jar人工制品你自己。命令如下：

zip -d log4j-1.2.17.jar org/apache/log4j/net/JMSAppender.class

如果无法访问zip，也可以使用jar命令。

#assuming log4j-1.2.17.jar exists in current directory
mkdir tmp
cd tmp
jar xvf ../log4j-1.2.17.jar
rm org/apache/log4j/net/JMSAppender.class
jar cvf ../log4j-1.2.17-patched.jar .

不用说，一旦log4j-1.2。17.jar已修补，您需要部署它。

Answer 2

另一个答案是不正确的。版本1还存在一个漏洞。x、 CVE-2021-4104https://access.redhat.com/security/cve/CVE-2021-4104:

在1. x版的Java日志库Apache Log4j中发现一个缺陷。Log4j 1. x中的JMSAppender易受不受信任数据反序列化的攻击。如果部署的应用程序被配置为使用JMSAppender和攻击者的JMS Broker，则远程攻击者可以在服务器上执行代码。

为了缓解这一脆弱性：

这些是版本1中此缺陷的可能缓解措施。x:

• 注释掉或删除Log4j配置中的JMSApender（如果使用）

zip-q-d log4j-*。jarorg/apache/log4j/net/JMSAppender。班

• 限制操作系统用户在运行应用程序的平台上的访问，以防止攻击者修改Log4j配置