漏洞风险提示（20220121）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Apache Log4j Chainsaw反序列化代码执行漏洞（CVE-2022-23307）
一、漏洞描述：
       
        Log4j 是 Apache 的一个开源项目，通过使用 Log4j，可以控制日志信息输送的目的地是控制台、文件、GUI 组件，甚至是套接口服务器、NT 的事件记录器、UNIX Syslog 守护进程等；也可以控制每一条日志的输出格式；通过定义每一条日志信息的级别，能够更加细致地控制日志的生成过程。
        该漏洞是由于 Log4j 中的日志查看器 Chainsaw 存在的反序列化漏洞，攻击者可利用该漏洞在未授权的情况下，构造恶意数据执行远程代码执行攻击，最终可获取服务器最高权限。Log4j 默认配置时不受此漏洞影响。
二、风险等级：
          高危
三、影响范围：
        Apache Log4j 1.x
        Apache Chainsaw < 2.1.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/apache/logging-log4j2/tags
        也可通过升级Apache Chainsaw 至最新版的方式进行修复，官方下载链接：
        https://logging.apache.org/chainsaw/2.x/download.html

        本次受影响漏洞主要为 log4j 1.x，首先检测是否使用 log4j 1.x可以通过如下方式：
        Windows下全盘搜索 “log4j-1.”，Linux 下输入以下命令：

1. find / -name log4j*.jar

复制代码

---

2 Apache Log4j JDBCAppender SQL注入漏洞（CVE-2022-23305）
一、漏洞描述：
       
        Log4j 是 Apache 的一个开源项目，通过使用 Log4j，可以控制日志信息输送的目的地是控制台、文件、GUI 组件，甚至是套接口服务器、NT 的事件记录器、UNIX Syslog 守护进程等；也可以控制每一条日志的输出格式；通过定义每一条日志信息的级别，能够更加细致地控制日志的生成过程。
        该漏洞是由于 JDBCAppender 未对 SQL 语句进行过滤，攻击者可利用该漏洞在未授权的情况下，构造恶意数据执行 SQL 注入攻击，最终可造成服务器敏感性信息泄露。Log4j 默认配置时不受此漏洞影响。
二、风险等级：
          高危
三、影响范围：
        Apache Log4j 1.x
        Apache Chainsaw < 2.1.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/apache/logging-log4j2/tags

        本次受影响漏洞主要为 log4j 1.x，首先检测是否使用 log4j 1.x可以通过如下方式：
        Windows下全盘搜索 “log4j-1.”，Linux 下输入以下命令：

1. find / -name log4j*.jar

复制代码

---

3 Apache Log4j JMSSink反序列化代码执行漏洞（CVE-2022-23302）
一、漏洞描述：
       
        Log4j 是 Apache 的一个开源项目，通过使用 Log4j，可以控制日志信息输送的目的地是控制台、文件、GUI 组件，甚至是套接口服务器、NT 的事件记录器、UNIX Syslog 守护进程等；也可以控制每一条日志的输出格式；通过定义每一条日志信息的级别，能够更加细致地控制日志的生成过程。
        该漏洞是由于 JMSSink 存在的反序列化漏洞，攻击者可利用该漏洞获得权限的情况下，构造恶意数据执行远程代码执行攻击，最终可获取服务器最高权限。Log4j 默认配置时不受此漏洞影响。
二、风险等级：
          高危
三、影响范围：
        Apache Log4j 1.x
        Apache Chainsaw < 2.1.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/apache/logging-log4j2/tags

        本次受影响漏洞主要为 log4j 1.x，首先检测是否使用 log4j 1.x可以通过如下方式：
        Windows下全盘搜索 “log4j-1.”，Linux 下输入以下命令：

1. find / -name log4j*.jar

复制代码

---

4 Oracle WebLogic Server远程代码执行漏洞（CVE-2022-21306）
一、漏洞描述：
       
        WebLogic 是美国 Oracle 公司出品的一个 Application Server，确切的说是一个基于JAVAEE 架构的中间件，WebLogic 是用于开发、集成、部署和管理大型分布式 Web 应用、网络应用和数据库应用的 Java 应用服务器。
        该漏洞是由于 T3 协议可以发送恶意反序列化数据，攻击者可利用该漏洞在未授权的情况下，构造恶意数据执行远程代码执行攻击，最终获取服务器最高权限。
二、风险等级：
          高危
三、影响范围：
        Oracle WebLogic Server 12.1.3.0.0
        Oracle WebLogic Server 12.2.1.3.0
        Oracle WebLogic Server 12.2.1.4.0
        Oracle WebLogic Server 14.1.1.0.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.oracle.com/security-alerts/cpujan2022.html

        检测组件系统版本：
        用户可以通过进入 WebLogic 安装主目录下的 OPatch 目录，在此处打开命令行，输入以下命令：

1. .\opatch lspatches

复制代码

---