AG公司云
Apache Log4j反序列化误差
2017-04-18
北京时间18日清早，Apache Log4j 被曝出保存一个反序列化误差(CVE-2017-5645) 。攻击者可以通过发送一个特殊制作的2进制payload，在组件将字节反序列化为工具时，触发并执行结构的payload代码 。
该误差主要是由于在处置惩罚ObjectInputStream时，吸收器关于不可靠泉源的input没有过滤 �？梢酝ü鳷cpSocketServer和UdpSocketServer添加可设置的过滤功效以及一些相关设置，可以有用的解决该误差 。现在Log4j官方已经宣布新版本修复了该误差 。
相关地点：
http://cve.mitre.org/cgi-bin/cvename.cgi?name=%09CVE-2017-5645
https://issues.apache.org/jira/browse/LOG4J2-1863
http://seclists.org/oss-sec/2017/q2/78
受影响的版本
所有Apache Log4j 2.*系列版本：
- Apache Log4j 2.0-alpha1 – Apache Log4j 2.8.1
不受影响的版本
- Apache Log4j 2.8.2
规避计划
- 使用Java 7+的用户应连忙升级至2.8.2版本或者阻止使用socket server的相关类 。
参考链接：
https://issues.apache.org/jira/browse/LOG4J2/fixforversion/12339750/?selectedTab=com.atlassian.jira.jira-projects-plugin:version-summary-panel
- 使用Java 6的用户应该阻止使用TCP或者UDP 的socket server相关类，用户也可以手动添加2.8.2版本更新的相关代码来解决该误差 。
参考链接：
https://git-wip-us.apache.org/repos/asf?p=logging-log4j2.git;h=5dcc192
声 明
本清静通告仅用来形貌可能保存的清静问题，AG公司科技不为此清静通告提供任何包管或允许 。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，AG公司科技以及清静通告作者不为此肩负任何责任 。AG公司科技拥有对此清静通告的修改息争释权 。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容 。未经AG公司科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的 。
