Log4j CVE-2021-44228

समाधान

विचार करें कि क्या आपको वास्तव में Log4j2 Core की आवश्यकता है। सबसे अधिक संभावना है, आपका अपना कोड (या कोई तृतीय-पक्ष लाइब्रेरी जिस पर आप निर्भर हैं) केवल Log4j के लॉगिंग API फ़ेसाड की आवश्यकता है - लेकिन दूसरे बैक-एंड पर लॉग कर सकता है। इसलिए आप केवल org.apache.logging.log4j:log4j-core निर्भरता को पूरी तरह से बाहर कर सकते हैं।

कई उपलब्ध "लॉगिंग API ब्रिज" में से एक का उपयोग करके (केवल) log4j-api को किसी अन्य लॉगिंग इम्प्लीमेंटेशन बैक-एंड से जोड़ें:

1. Log4j2-SLF4j-Logback log4j-to-slf4j का उपयोग करते हुए

2. Log4j2-to-JUL LOG4J2-3282 से, मेरे द्वारा, जैसा कि https://github.com/vorburger/Learning-Log4j2 दर्शाता है।

यह विशेष रूप से तब समझ में आता है जब आपके, या आपके क्लाउड प्रदाता के पास संबंधित बैक-एंड के लिए मौजूदा इंफ्रास्ट्रक्चर हो:

• Google Cloud Logging Logback Appender, GitHub पर देखें, साथ ही Spring Framework एकीकरण के साथ

पृष्ठभूमि

• https://logging.apache.org/log4j/2.x/security.html
• https://github.com/advisories/GHSA-jfh8-c2jp-5v3q
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-44228

पहचान और स्कैनिंग, आक्रमण सतह

• https://github.com/github/codeql/pull/7354
• https://github.com/google/tsunami-security-scanner-plugins/issues/219
• https://github.com/YfryTchsGD/Log4jAttackSurface (मीम्स के साथ)

शमन उपाय

• https://github.com/apache/logging-log4j2/pull/608
• https://spring.io/blog/2021/12/10/log4j2-vulnerability-and-spring-boot
• https://community.openhab.org/t/openhab-and-the-log4j-security-vulnerability/129901
• https://github.com/vorburger/MariaDB4j/issues/509

एक्सप्लॉइट

• https://www.lunasec.io/docs/blog/log4j-zero-day/#exploit-steps