7*24小时技术支持
海外CN2服务器（客服1）
近日，网络应急团队监测到Apache发布安全公告，修复了多个存在于Apache Log4j中的漏洞。其中，1个严重漏洞，2个高危漏洞。漏洞详情如下：
CVE-2022-23307 Apache log4j Chainsaw反序列化代码执行漏洞
漏洞类型：反序列化
风险等级：严重
漏洞描述：由于处理序列化数据时不安全的输入验证而存在该漏洞。远程攻击者可以将特制数据传递给应用程序并在目标系统上执行任意代码。成功利用此漏洞可能会导致易受攻击的系统完全受到攻击。
CVE-2022-23302 Apache Log4j反序列化漏洞
漏洞类型：反序列化
风险等级：高危
漏洞描述：该漏洞是由于在 JMSSink 中处理序列化数据时输入验证不安全。远程攻击者可以提供一个 TopicConnection-FactoryBindingName配置，导致 JMSSink 执行 JNDI 请求并在目标系统上执行任意代码。 请注意，利用此漏洞需要支持 JMSSink 的非默认配置。
CVE-2022-23305 Apache Log4j SQL注入漏洞
漏洞类型：SQL注入
风险等级：高危
漏洞描述：该漏洞是由于 JDBCAppender 中用户提供的数据未充分清理而存在的。远程攻击者可以向受影响的应用程序发送特制请求，并在应用程序数据库中执行任意 SQL 命令。请注意，利用该漏洞需要启用 JDBCAppender 的非默认配置。
【受影响版本】
Apache Log4j 1.x
Apache Chainsaw < 2.1.0
【安全版本】
Log4j 2
Apache Chainsaw > = 2.1.0
Log4j是Apache的一个开源项目，通过使用Log4j，我们可以控制日志信息输送的目的地是控制台、文件、GUI组件，甚至是套接口服务器、NT的事件记录器、UNIX Syslog守护进程等；我们也可以控制每一条日志的输出格式；通过定义每一条日志信息的级别，我们能够更加细致地控制日志的生成过程。Chainsaw v2 是由 Log4j 开发社区成员编写的 Log4j 的配套应用程序。
Copyright 2009-2022 HKBGP Network
