产品中心
产品中心
基础安全
T-Sec 主机安全
容器安全服务 TCSS
T-Sec Web应用防火墙
T-Sec 云防火墙
T-Sec 安全运营中心
T-Sec iOA零信任安全管理系统
业务安全
T-Sec 天御验证码
T-Sec 天御文本内容安全
T-Sec 天御视频内容安全
T-Sec 全栈式风控引擎
T-Sec 手游安全
T-Sec 小程序安全
T-Sec 应用合规平台
数据安全
T-Sec 堡垒机
T-Sec 数据安全审计
T-Sec 云访问安全代理
T-Sec 凭据管理系统
T-Sec 密钥管理系统
T-Sec 云加密机
T-Sec 数据安全治理中心
安全服务
T-Sec 安全专家服务
一站式等保服务
T-Sec 安全托管服务
渗透测试服务
应急响应服务
重要时期安全保障服务
安全攻防对抗服务
了解全部安全产品→
解决方案
解决方案
通用解决方案
等保合规安全解决方案
直播安全解决方案
数据安全解决方案
品牌保护解决方案
高防云主机安全解决方案
腾讯安心平台解决方案
行业场景方案
游戏安全场景方案
电商安全场景方案
智慧零售场景方案
智慧出行场景方案
安全专项解决方案
勒索病毒专项解决方案
重大保障安全解决方案
NEW
最新动态
威胁研究
合作伙伴
更多
更多
关于我们
腾讯安全介绍
荣誉认证
帮助中心
帮助文档
考试认证
在线课堂
证书查询
联系我们
产品方案咨询
寻求市场合作
友情链接
腾讯云

威胁研究

正文

Apache Log4j 2 远程代码执行漏洞（CVE-2021-45046）风险通告

2021-12-17 08:43:31

Apache Log4j 由于非默认配置下对CVE-2021-44228修复措施不完善，导致在某些特殊配置场景下，可被攻击者利用造成远程代码执行攻击。为避免遭遇黑客攻击，腾讯安全专家建议受影响的客户及时升级到最新版本。

Apache Log4j 由于非默认配置下对CVE-2021-44228修复措施不完善，导致在某些特殊配置场景下，可被攻击者利用造成远程代码执行攻击。

为避免遭遇黑客攻击，腾讯安全专家建议受影响的客户及时升级到最新版本。

漏洞描述：

Apache Log4j 2.15.0 中针对 CVE-2021-44228 的修复在某些非默认配置中不完整。当日志配置使用非默认模式布局和上下文查找（例如，$${ctx:loginId}）或线程上下文映射模式（ %X、%mdc 或 %MDC）使用 JNDI 查找模式制作恶意输入数据，从而导致拒绝服务 (DOS) 攻击。

默认情况下，Log4j 2.15.0 尽最大努力将 JNDI LDAP 查找限制为 localhost。Log4j 2.16.0 通过删除对消息查找模式的支持和默认禁用 JNDI 功能来修复此问题。

这是继2021年12月9日被曝存在严重代码执行漏洞（CVE-2021-44228）后，Apache Log4j 官方近日再次披露的另外一个远程代码执行漏洞（CVE-2021-45046）。

漏洞风险评分已从最初的CVSS 3.7分上升到CVSS 9.0分，由低风险上升为“高风险”。

Apache Log4j2是一个基于Java的日志记录工具。该工具重写了Log4j框架，并且引入了大量丰富的特性。该日志框架被大量用于业务系统开发，用来记录日志信息。

漏洞等级：

高，CVSS评分9.0

受影响的版本：

2.0-beta9 =< Apache Log4j < 2.16.0

该漏洞影响全球大量通用应用及组件，包括：

Apache Struts2

Apache Solr

Apache Druid