2022年01月20日，360CERT监测发现Apache官方 发布了Log4j的风险通告，漏洞编号为CVE-2022-23302,CVE-2022-23305,CVE-2022-23307，对应的组件分别是：JMSSink、JDBCAppender、Chainsaw。漏洞等级：严重，漏洞评分：9.8。

Log4j是Apache的一个开源项目，通过使用Log4j，我们可以控制日志信息输送的目的地是控制台、文件、GUI组件，甚至是套接口服务器、NT的事件记录器、UNIX Syslog守护进程等；我们也可以控制每一条日志的输出格式；通过定义每一条日志信息的级别，我们能够更加细致地控制日志的生成过程。

对此，360CERT建议广大用户及时将Apache Log4j升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

360CERT对该漏洞的评定结果如下

CVE-2022-23302: Apache log4j JMSSink反序列化代码执行漏洞

CVE: CVE-2022-23302

组件: JMSSink

漏洞类型: 代码执行

漏洞等级：高危

影响: 服务器接管

简述: 当攻击者具有修改Log4j配置的权限或配置引用了攻击者有权访问的LDAP服务时，所有 Log4j 1.x 版本中的JMSSink 都容易受到不可信数据的反序列化。攻击者可以提供一个TopicConnectionFactoryBindingName配置，使JMSSink执行JNDI请求，从而以与CVE-2021-4104类似的方式远程执行代码。

注：此漏洞仅在专门配置为使用 JMSSink时影响 Log4j 1.x，Log4j默认配置时不受此漏洞影响。

CVE-2022-23305: Apache log4j JDBCAppender SQL注入漏洞

CVE: CVE-2022-23305

组件: JDBCAppender

漏洞类型: SQL注入

漏洞等级：高危

影响: 数据泄漏,命令执行

简述: 由于Log4j 1.2.x中的JDBCAppender接受SQL语句作为配置参数，而PatternLayout的消息转换器未对其中输入的值进行过滤，就导致了SQL注入漏洞。该漏洞允许攻击者在记录应用程序输入的内容或标题中插入恶意构造的字符串来操纵SQL，从而实现非法的SQL查询。

注：此漏洞仅在专门配置为使用 JDBCAppender时才会影响 Log4j 1.x，Log4j默认配置时不受此漏洞影响。

CVE-2022-23307: Apache log4j Chainsaw反序列化代码执行漏洞

CVE: CVE-2022-23307

组件: Chainsaw

漏洞类型: 代码执行

漏洞等级：严重

影响: 服务器接管

简述: Chainsaw v2是由Log4j开发社区成员编写的与Log4j配套的应用程序，是一个基于GUI的日志查看器，可以读取Log4j的XMLLayout格式的日志文件。该漏洞存在于Log4j 1.2.x中的日志查看器Chainsaw中，是一个反序列化漏洞，可造成任意代码执行。该漏洞此前被命名为CVE-2020-9493。建议用户升级到Apache Chainsaw 2.1.0版本和Log4j 2 以进行安全修复（Apache 已于 2015 年停止维护 Log4j 1.x）。

注：此漏洞仅在专门配置为使用Chainsaw时才会影响 Log4j 1.x，Log4j默认配置时不受此漏洞影响。

通用修补建议

根据影响版本中的信息，排查并升级到安全版本

临时修补建议

CVE-2022-23307: Apache log4j Chainsaw反序列化代码执行漏洞

不要将 Chainsaw 配置为读取序列化的日志事件。可以使用其他接收器，例如 XMLSocketReceiver。

若想了解更多产品信息或有相关业务需求，可移步至http://360.net。

360安全卫士

Windows用户可通过360安全卫士实现对应补丁安装、漏洞修复、恶意软件查杀，其他平台的用户可以根据修复建议列表中的安全建议进行安全维护。

360CERT建议广大用户使用360安全卫士定期对设备进行安全检测，以做好资产自查以及防护工作。

360安全卫士团队版

用户可以通过安装360安全卫士并进行全盘杀毒来维护计算机安全。360CERT建议广大用户使用360安全卫士定期对设备进行安全检测，以做好资产自查以及防护工作。

360本地安全大脑

360本地安全大脑是将360云端安全大脑核心能力本地化部署的一套开放式全场景安全运营平台，实现安全态势、监控、分析、溯源、研判、响应、管理的智能化安全运营赋能。360本地安全大脑已支持对相关漏洞利用的检测，请及时更新网络神经元（探针）规则和本地安全大脑关联分析规则，做好防护。

360终端安全管理系统

360终端安全管理系统软件是在360安全大脑极智赋能下，以大数据、云计算等新技术为支撑，以可靠服务为保障，集防病毒与终端安全管控功能于一体的企业级安全产品。

360终端安全管理系统已支持对相关漏洞进行检测和修复，建议用户及时更新漏洞库并安装更新相关补丁。

2022-01-18 Apache官方发布通告

2022-01-20 360CERT发布通告

1、 https://nvd.nist.gov/vuln/detail/CVE-2022-23305

https://nvd.nist.gov/vuln/detail/CVE-2022-23305

2、 https://lists.apache.org/thread/pt6lh3pbsvxqlwlp4c5l798dv2hkc85y

https://lists.apache.org/thread/pt6lh3pbsvxqlwlp4c5l798dv2hkc85y

3、 https://logging.apache.org/log4j/1.2/index.html

https://logging.apache.org/log4j/1.2/index.html

一直以来，360CERT对全球重要网络安全事件进行快速通报、应急响应。为更好地为政企用户提供最新漏洞以及信息安全事件的安全通告服务，现360CERT推出了安全通告特制版报告订阅服务，以便用户做资料留存、传阅研究与查询验证。

今后特制报告将不再提供公开下载，用户可扫描下方二维码进行服务订阅。