预警Apache Log4j < 2.8.2 SocketServer反序列化漏洞(CVE-2019-17571)

释放双眼,带上耳机,听听看~!

2019年12月19日,本站安全专题监测到Apache Log4j官方披露1.2系列版本的Log4j存在反序列化漏洞(CVE-2019-17571)。

漏洞描述

Log4j 1.2系列版本引入了一个SocketServer类,该类在处理反序列化操作时可导致任意代码执行。Log4j是最常用的apache日志开源项目,使用非常广泛。在使用Log4j的SocketServer类创建TCP或UDP Socket监听服务处理接受数据,且数据可被攻击者篡改时可实现漏洞利用。利用场景苛刻,风险较低。

漏洞评级

CVE-2019-17571 低危

影响版本

Log4j 1.2系列版本

安全版本

Log4j >= 2.8.2

安全建议

1. 升级Log4j至安全版本:https://logging.apache.org/log4j/2.x/

2. 排查并禁止是否使用Log4j的SocketServer类创建TCP或UDP Socket服务,未使用Log4j的SocketServer类功能不受漏洞影响。

相关链接

https://logging.apache.org/log4j/1.2/

https://seclists.org/oss-sec/2019/q4/167

我们会关注后续进展,请随时关注官方公告。

如有任何问题,可随时通过工单反馈。

本站安全专题

2019.12.24

给TA打赏
共{{data.count}}人
人已打赏
安全漏洞

Rails 5.2.4.1 与 6.0.2.1 发布,修复漏洞

2019-12-19 11:12:22

安全漏洞

腾讯 Blade Team 获封 CNVD “最具价值漏洞”奖

2019-12-31 11:12:22

个人中心
购物车
优惠劵
今日签到
有新私信 私信列表
搜索