4、执行Maven Deploy,将log4j2修复的版本包安装到Nexus Apache Log4j2 远程代码执行漏洞修复步骤漏洞说明参考链接:Apache Log4j2 远程代码执行漏洞分析 - 安全客,安全资讯平台 Apache Log4j2是一个基于Java的日志记录工具。由于Apache Log4j2某些功能存在递归解析功能,攻击者可直接构造恶意请求,触发远程代码执行漏洞。漏洞利用无需特殊配置,经阿里云安全团队验证,Apache Struts2、Apache Solr、Apache Druid、Apache Flink等均受影响。 漏洞适用版本为2.0 <= Apache log4j2 <= 2.14.1,只需检测Java应用是否引入 log4j-api , log4j-core 两个jar。若存在应用使用,极大可能会受到影响。 修复步骤1、下载源码zip包到本地下载地址:log4j-2.15.0-rc2 2、解压到本地3、用IDEA打开项目4、执行Maven Deploy,将log4j2修复的版本包安装到Nexus
<toolchain> <type>jdk</type> <provides> <version>1.8</version> <vendor>sun</vendor> </provides> <configuration> <jdkHome>C:\\Program Files\\Java\\jdk1.8.0_202</jdkHome> </configuration> </toolchain> <toolchain> <type>jdk</type> <provides> <version>9</version> <vendor>sun</vendor> </provides> <configuration> <jdkHome>C:\\Program Files\\Java\\jdk-9.0.4</jdkHome> </configuration> </toolchain>
注意事项:
5、修改项目中的pom.xml
<dependency> <groupId>org.apache.logging.log4j</groupId> <artifactId>log4j-slf4j-impl</artifactId> <version>2.15.0</version> <scope>compile</scope> <exclusions> <exclusion> <artifactId>log4j-api</artifactId> <groupId>org.apache.logging.log4j</groupId> </exclusion> <exclusion> <artifactId>log4j-core</artifactId> <groupId>org.apache.logging.log4j</groupId> </exclusion> </exclusions> </dependency> <dependency> <groupId>org.apache.logging.log4j</groupId> <artifactId>log4j-api</artifactId> <version>2.15.0</version> <scope>compile</scope> </dependency> <dependency> <groupId>org.apache.logging.log4j</groupId> <artifactId>log4j-core</artifactId> <version>2.15.0</version> <scope>compile</scope> <exclusions> <exclusion> <artifactId>log4j-api</artifactId> <groupId>org.apache.logging.log4j</groupId> </exclusion> </exclusions> </dependency> 6、测试验证@RunWith(SpringRunner.class) @SpringBootTest @Log4j2 public class SpringTests { @Test public void test(){ log.error("${jndi:ldap://127.0.0.1:1389/#Exploit}"); log.error("${}","jndi:ldap://127.0.0.1:1389/#Exploit"); } } |
|