事件概述
老牌高危组件 Apache Log4j2 再曝新安全风险。官方披露编号 #4255 的全新漏洞，攻击者可利用该缺陷绕过组件内置的反序列化白名单安全校验，在特定部署环境中实现远程代码执行（RCE）攻击。
不同于此前全网通用的核弹级 Log4j2 漏洞，本次缺陷适用场景更具针对性，主要威胁搭载老旧、自定义日志接收服务的业务系统。虽非全域通用漏洞，但仍可对存量遗留业务造成严重安全威胁。
漏洞核心原理与影响范围
本次漏洞的核心问题在于 Log4j2 的安全防护机制存在缺陷。官方内置的 FilteredObjectInputStream 工具仅作为深度防御辅助手段，并非绝对安全边界，无法彻底拦截恶意攻击载荷。
漏洞核心影响条件：
- 业务系统开放可网络访问的 Java 反序列化 接口
- 系统支持接收序列化格式的 Log4j 日志事件数据
- 存量老旧服务、基于传统套接字桥接模式的无认证日志接收服务为高危重灾区
攻击者可构造恶意序列化日志数据，绕过原有白名单校验逻辑，触发 Java 反序列化漏洞，进而在目标服务器上执行任意恶意代码，窃取数据、植入木马或控制业务系统。
官方风险提示
Apache 官方明确警示：应用程序绝对不可解析、处理不可信来源的序列化日志数据流。本次漏洞本质是老旧日志传输架构的防护绕过问题，常规标准部署的 Log4j2 业务不受影响。
截至目前，该漏洞暂无分配 CVE 编号，官方漏洞工单仍处于未修复、未关闭状态，暂无正式补丁推送，全网相关业务需自行做好应急防护。
临时应急缓解方案
在官方发布正式修复补丁前，企业可通过配置 JVM 序列化过滤器实现紧急防护，快速阻断漏洞利用攻击。
临时防护操作：配置 JVM 序列化过滤器，直接拒绝解析 java.rmi.MarshalledObject 对象。
注意事项：该方案存在一定兼容性问题，可能会拦截正常合法的序列化日志数据，需企业根据业务场景灵活适配，仅作为短期应急手段。
长效安全加固方案
为彻底根除本次漏洞及同类反序列化风险，官方推荐多项长效防御措施，适配企业长期安全建设：
- 优化日志传输架构：彻底移除日志传输链路中的 Java 序列化逻辑，从根源杜绝反序列化漏洞风险
- 清理高危依赖：升级或卸载存在漏洞风险的组件依赖工具类，清除攻击利用链
- 强化接入认证：日志服务端点开启双向认证，杜绝匿名、无授权的网络访问
- 迭代日志格式：放弃 Java 序列化日志传输方式，迁移至 JSON、RFC 5424 等标准化结构化日志格式，全程通过 TLS 加密传输
Apache 官方重点强调：结构化日志格式 + TLS 加密传输，是替代 Java 序列化日志传输、规避此类漏洞的最优方案。
各企业安全运维团队需立即开展内部资产排查，重点梳理存量遗留业务，重点核查两类高危资产：一是老旧序列化 Log4j 日志接收服务，二是基于传统套接字桥接搭建的无认证外网日志服务，及时做好防护加固，防范潜在攻击入侵。
资讯来源：Apache 官方漏洞公告 | 
发表于 2 小时前
|
查看: 6|
回复: 0
