感知log4j中LDAP查找功能的背后

Question

最近披露了一个0天漏洞，该漏洞使用log4j中的一个安全漏洞，允许未经授权的远程代码执行。

我想知道，什么是真正的原因，为什么log4j实现了这个JNDI查找，这导致了这个漏洞？

在log4j中使用此LDAP查找功能的示例是什么？

Answer 1

Log4j是Java中使用的一个流行日志框架（您可以通过查看该漏洞的广泛影响来判断流行程度）。Log4j提供了一个特定的特性，您可以在其中向日志字符串添加标记，这些标记将被插值以获取特定数据。例如，“%d{dd MMM yyyy}”将插入记录消息的日期。

同时，JNDI（Java命名和目录接口）通常用于向多个（mirco）服务共享配置设置。

您可以想象有人希望在错误情况下记录配置设置的情况。

看到这篇文章解释一下

基于Java的应用程序可以一起使用JNDI LDAP来查找包含可能需要的数据的业务对象。例如，下面的URLldap://localhost:3xx/o=BusinessObjectID从运行在3xx端口上的同一台机器（本地主机）或托管在受控环境中的远程机器上的LDAP服务器远程查找和调用BusinessObject，然后从中读取属性。

它提到的更新提到它为“LOG4J2-313:addjndilookup插件”动机可以在apachejira条目中找到

目前，查找插件[1]不支持JNDI资源。在配置中支持JNDI资源查找将非常方便。

JNDI查找插件的一个用例如下：我想使用RoutingAppender[2]将来自同一web应用程序上下文的所有日志放在一个日志文件中（每个web应用程序上下文一个日志文件）。我想使用JNDI资源查找来确定目标路由（类似于logback[3]的JNDI上下文选择器）。

通过JNDI查找确定目标路由可能是有利的，因为我们不必添加任何代码来设置线程上下文的属性，JNDI查找即使在单独的线程中也应该始终工作，而无需复制线程上下文变量。

[1] http://logging.apache.org/log4j/2.x/manual/lookups.html [2] http://logging.apache.org/log4j/2.x/manual/appenders.html#RoutingAppender [3] http://logback.qos.ch/manual/contextSelector.html

log4j的最大问题是，默认情况下，所有模块的所有字符串插值都处于启用状态。与此同时，它已成为选择退出，但并非总是如此。