【云安全最佳实践】Log4j漏洞介绍及云上防范
原创
1. Log4j漏洞席卷全球
2021年11月中国软件工程师陈兆军发现了一个在Java服务中常用日志组件Log4j2的一个高危漏洞，并提交给官方。
2021年12月7日Apache发布 log4j-2.15-0-rc1版本，解决该漏洞。
2021年12月9日可能有人根据2.15.1版本复现出了漏洞利用方式，网上开始出现利用 Log4Shell 漏洞发起的攻击。
Log4j漏洞立刻席卷全球，CVE编号为CVE-2021-44228。
洛杉矶日报对此发文称：「互联网正在着火」「过去十年最严重的漏洞」「现代计算机历史上最大漏洞」「难以想到哪家公司不受影响」！
国内外多家媒体形容该 漏洞为——核弹级！！！
2. Log4j漏洞的原因
2.1 Log4j2介绍
如果说到漏洞的原因，就需要先介绍一下Log4j2这个框架。Log4j2 是一款 Java 日志记录框架。在Java开发中应用广泛。下面用最简单的描述给大家介绍一些 Log4j2 。
在 Java 项目中，当用户在输入一些信息或者系统需要记录一些状态用于后期排查问题，就会用到日志，比如在上面登录系统，就有可能在后台记录日志，如下图：
可以说 Log4j2 对于 Java 就像是飞机上的黑匣子。
2.2 lookup 功能介绍
一个日志记录功能怎么会引起这么大的漏洞呢，首先要提一些 Log4j2 中加入的 Lookup功能。Lookup 功能的本意是提供另外一种方式添加一些特殊值到日志中，以最大化松耦合地提供可配置属性供使用者以约定的格式进行调用。比如日期，只要按规定的格式输入，在日志里就会自动生成日期，不用再一个一个日志中写具体日期。
下面的代码中写的 Java 信息对应字段，日志中就会输出具体信息：
日志中输出的：
上面的日志示例可以看到，日志中打印的是 ${java:runtime} ，日志控制台输出的是Java(TM) SE Runtime Environment (build 1.8.0_131-b11) from Oracle Corporation。
在 org.apache.logging.log4j.core.pattern.MessagePatternConverter 中，会对每一条日志进行检验，如果包含 $ 和｛，则触发替换机制，再根据约定的替换规则，将 ${ 后的信息进行替换。
详细的内置规则参见：Log4j2 中文文档 - Lookups | Docs4dev
在 Log4j2 内置的替换规则中，就包含 JNDI 这个容易引发漏洞的Java 规范。
2.3 JNDI
关于JNDI官方的说法是这样的：
Java命名和目录接口（Java Naming and Directory Interface，缩写JNDI），是Java的一个目录服务应用程序接口（API），它提供一个目录系统，并将服务名称与对象关联起来，从而使得开发人员在开发过程中可以使用名称来访问对象 。
上面并不是很易懂，大家可以看下面的图。比如 Java Application 需要一些和项目解耦的资源，比如代码需要根据不同环境加载不同数据库，这时候不用把数据库的配置写死在自己的程序里，我可以通过 JNDI API, 只需要定义需要数据库配置信息的名字，具体的数据库信息可以由 JNDI SPI 提供，提供的方式可以是下面多种多样的方式。也就是说你的程序中只需要按照既定规则定义一个简单的名称，程序启动以后，看运行环境对应这个名称提供了什么，就把环境中提供的加载到项目中去。
在 javax.naming.spi.NamingManager 可以看到当项目中存在 JNDI 命名时，先从本地查找对应名称的类，如果本地没有就从远程加载对应名称的类（这也是这个漏洞的最主要原因 ）
2.4 利用流程
根据上面的内容，我们总结下漏洞利用的流程。
3. Log4j漏洞的影响
影响面极广：由于Log4j是java最常用的日志记录框架，不只是我们在业务中，众多的开源组件也使用了Log4j框架，包括ElasticSearch、Logstash、Kafka、Apache Druid、Apache Struts2等等。所以影响极广。
利用简单：而从刚才的原因中我们可以看到，只需要构建JNDI注入就可以达到入侵的效果，这个入侵方式极为简单，即使是很多刚入门的脚本小子也能轻松入侵服务器。
入侵后权限：而且一旦入侵，很容易通过脚本获得最高权限，执行任意代码。
由于也就明白了为什么众多媒体把Log4j漏洞称为核弹级。
4. Log4j漏洞的解决方案
网上缓解的方案有很多，比如在spring中或者java中做一些配置，原理都是禁用JNDI。
但解决方案最彻底的还是升级最新版本，单对这个漏洞而言是一劳永逸的事情。
但是很多项目已经跑了很多年了，维护很困得，无法修改代码和依赖，这个时候就需要依赖比如WAF等设备，，过滤流量包中是有“${jndi:rmi”、 “${jndi:ldap”。
5. 腾讯云安全对Log4j漏洞的防范
在漏洞刚刚发布，腾讯云就对Log4j漏洞进行了全面的防范，包括腾讯T-Sec Web应用防火墙（WAF）、腾讯T-Sec高级威胁检测系统（NDR、御界）、腾讯T-Sec云防火墙、腾讯T-Sec主机安全（云镜）、腾讯容器安全服务（TCSS）等产品。
从上文中我们得知，防御这个漏洞，主要是两种方法，一个是升级版本，腾讯T-Sec主机安全、腾讯容器安全服务就是扫描系统中是否存在这个漏洞，并提示和修复。
另一个办法是在流量中阻断，腾讯T-Sec Web应用防火墙（WAF）、腾讯T-Sec高级威胁检测系统（NDR、御界）、腾讯T-Sec云防火墙使用的就是这个版本，包括开发虚拟补丁，添加默认过滤规则等方式。
所以开启腾讯云安全防护的机器，已经不需要担心Log4j的影响。
原创声明：本文系作者授权腾讯云开发者社区发表，未经许可，不得转载。
如有侵权，请联系 cloudcommunity@tencent.com 删除。
原创声明：本文系作者授权腾讯云开发者社区发表，未经许可，不得转载。
如有侵权，请联系 cloudcommunity@tencent.com 删除。