AWS的Corretto團隊對log4j RCE漏洞的熱修補機制

banq發表於2021-12-23

AWS 的 Corretto 團隊一直致力於從 CVE-2021-44228 對 log4j RCE 進行熱修補的機制。點選標題見Github專案，這是針對 CVE-2021-44228 的 log4j RCE 進行熱修補的代理。
它是將 Java 代理注入正在執行的 JVM 程式的工具。代理將嘗試修補lookup()所有已載入org.apache.logging.log4j.core.lookup.JndiLookup例項的方法以無條件返回字串“Patched JndiLookup::lookup()”。它旨在解決Log4j 中的CVE-2021-44228遠端程式碼執行漏洞，而無需重新啟動 Java 程式。此工具還將解決CVE-2021-45046 問題。
目前僅在 Linux 上使用 JDK 8、11、15 和 17 進行了測試！
執行：
JDK 8
  • java -cp <java-home>/lib/tools.jar:Log4jHotPatch.jar Log4jHotPatch <java-pid>

JDK 11 及更新版本
  • java -jar Log4jHotPatch.jar <java-pid>


<java-pid>是你正在執行的JVM程式的PID，透過ps-ax等命令可查詢到PID。
 

相關文章