CVE-2019-17571/Apache Log4j 1.2.X contém vulnerabilidade de execução remota de código por desserialização

Link de referência do alerta de vulnerabilidade: https://mp.weixin.qq.com/s/okU2y0izfnKXXtXG3EfLkQ

1. Descrição da vulnerabilidade

Apache Log4j é uma ferramenta de registro de logs de código aberto baseada em Java da Apache Software Foundation. Nas versões da série Apache Log4j 1.2.X existe uma vulnerabilidade de execução remota de código por desserialização. Um atacante pode explorar essa vulnerabilidade para executar comandos maliciosos arbitrários. O Log4j 1.2.X inclui uma classe SocketServer que é facilmente suscetível à desserialização de dados não confiáveis; quando combinada com gadgets de desserialização ao ouvir tráfego de rede não confiável de dados de log, essa classe pode ser usada para executar código arbitrário remotamente. A vulnerabilidade afeta inclusive a versão mais recente até o momento.

2. Impacto da vulnerabilidade

Alto risco

Escopo afetado 1.2.4 <= Apache Log4j <= 1.2.17 (versão mais recente)

Recomendações de correção

1. Atualize para a versão mais recente da série Apache Log4j 2

2. Não exponha à internet a porta socket aberta por essa classe

3. Verificação da vulnerabilidade