Log4j 漏洞 - Log4j 1.2.17 是否存在漏洞（无法在源代码中找到任何 JNDI 代码）？

Question

关于Log4jJNDI远程代码执行漏洞CVE-2021-44228-（另见参考资料）-我想知道Log4j-v1.2是否也受到影响，但我从源代码审查中得到的最接近的是JMS-Appender。

问题是，虽然网上的帖子表明 Log4j 1.2 也存在漏洞，但我找不到它的相关源代码。

我是否遗漏了其他人已经发现的东西？

Log4j 1.2 似乎在socket-server 类中存在漏洞，但我的理解是，首先需要启用它才能使其适用，因此与 JNDI 查找漏洞不同，它不是被动威胁，后者被识别的那个似乎是。

我的理解 - Log4j v1.2 - 不会受到 jndi-remote-code 执行错误的影响正确吗？

参考文献

• Apache Log4j Security Vulnerabilities

• Zero-day in ubiquitous Log4j tool poses a grave threat to the Internet

• Worst Apache Log4j RCE Zero day Dropped on Internet

• ‘Log4Shell’ vulnerability poses critical threat to applications using ‘ubiquitous’ Java logging package Apache Log4j

这个blog post from Cloudflare 也表示与AKX 相同的点......它是从Log4j 2 引入的！

更新 #1 - （现已停用）apache-log4j-1.2.x 的一个分支，带有针对旧库中发现的几个漏洞的补丁修复程序现已可用（来自 log4j 原作者)。该网站是https://reload4j.qos.ch/。截至 2022 年 1 月 21 日，版本 1.2.18.2 已发布。迄今为止解决的漏洞包括与JMSAppender、SocketServer 和Chainsaw 漏洞有关的漏洞。请注意，我只是在转发此信息。尚未验证我的修复。请参阅链接了解更多详情。

Answer 1

JNDI 功能was added into Log4j 2.0-beta9。

Log4j 1.x 因此没有易受攻击的代码。

Answer 2

虽然不受完全相同的 Log4Shell 问题的影响，Apache Log4j team 建议从您的 JAR 文件中删除 JMSAppender 和 SocketServer，它们在 CVE-2019-17571 中存在漏洞。

您可以使用zip 命令删除受影响的类。将文件名/版本替换为您的：

zip -d log4j-1.2.16.jar org/apache/log4j/net/JMSAppender.class
zip -d log4j-1.2.16.jar org/apache/log4j/net/SocketServer.class

您可以使用 less 和 grep 浏览 zip 中的文件，例如less log4j-1.2.16.jar | grep JMSAppender

话虽如此，Apache 建议您尽可能升级到 2.x 版本。根据their security page：

请注意，Log4j 1.x 已结束生命周期，不再受支持。 2015 年 8 月之后报告的针对 Log4j 1.x 的漏洞没有经过检查，也不会修复。用户应升级到 Log4j 2 以获得安全修复。

Answer 3

除了giraffesyo's answer，如果它可以帮助任何人——我写了这个 Bash 脚本——它删除了被识别为漏洞的类（链接here to Log4j dev thread）并将属性文件设置为只读——正如建议的here on a Red Hat Bugzilla thread。

注意 1 - 它不检查这些类在属性中的任何使用，它纯粹是一种查找和删除的方法 - 使用风险自负！

注意 2 - 这取决于正在安装的 zip 和 unzip

#!/bin/bash

DIR=$1
APPLY=$2

# Classes to be searched for/removed
CLASSES="org/apache/log4j/net/SimpleSocketServer.class
org/apache/log4j/net/SocketServer.class
org/apache/log4j/net/JMSAppender.class"


PROGNAME=`basename $0`
PROGPATH=`echo $0 | sed -e 's,[\\/][^\\/][^\\/]*$,,'`

usage () {
    echo >&2 Usage: ${PROGNAME} DIR [APPLY]
    echo >&2        Where DIR is the starting directory for find
    echo >&2        and   APPLY = "Y" - to perform purification
    exit 1
}

# Force upper case on Apply
APPLY=$(echo "${APPLY}" | tr '[:lower:]' '[:upper:]')

# Default Apply to N
if [ "$APPLY" == "" ] ; then
   APPLY="N"
fi

# Check parameters
if [ "$DIR" == "" ] ; then
   usage
fi
echo $APPLY | grep -q -i -e '^Y$' -e '^N$' || usage

# Search for log4j jar files - for class file removal
FILES=$(find $DIR -name *log4j*jar)
for f in $FILES
do
   echo "Checking Jar [$f]"

   for jf in $CLASSES
   do
      unzip -v $f | grep -e "$jf"
      if [ "$APPLY" = "Y" ]
      then
         echo "Deleting $jf from $f"
         zip -d $f $jf
      fi
   done
done

# Search for Log4j properties files - for read-only setting
PFILES=$(find $DIR -name *log4j*properties)
for f in $PFILES
do
   echo "Checking permissions [$f]"

   if [ "$APPLY" = "Y" ]
   then
      echo "Changing permissons on $f"
      chmod 444 $f
   fi

   ls -l $f
done