今天的早些时候陷入CVE-2021-44228漏洞风波的Log4j发布了2.16.0版本。
在2.16.0版本版本中完全删除对Message Lookups的支持。目的是采取强化措施以防止 CVE-2021-44228,另外默认禁用 JNDI，需要 log4j2.enableJndi设置为 true 以允许 JNDI。 CVE-2021-44228漏洞已经在前些天发布的2.15.0版本得到了修复。2.16.0版本是强化对漏洞的封堵，强烈建议更新到2.16.0版本。
受漏洞影响的Apache项目另外Apache 安全团队在今天公布了受log4j CVE-2021-44228影响的Apache项目。可以根据下面列表进行排查：
当攻击者对Log4j配置具有写访问权限时，Log4j1.2中的 JMSAppender容易受到不可信数据的反序列化。攻击者可以对TopicBindingName和TopicConnectionFactoryBindingName配置，将导致JMSAppender以类似CVE-2021-4422的方式执行JNDI请求，从而导致远程代码执行。
请注意，当专门使用JMSAppender时才会引发CVE-2021-4104，此问题仅出现在Log4j 1.2，而且这不是默认设置。
本文转载自微信公众号「码农小胖哥」，可以通过以下二维码关注。转载本文请联系码农小胖哥公众号。
