防范 Apache Log4j2 漏洞（CVE-2021-44228）

F5生态系统 | 2021年12月14日

请注意：自本博客首次发布以来，F5已审查后续披露的CVE（CVE-2021-45046、CVE-2021-4104和CVE-2021-45105），并确认下述保护机制同样适用于这些漏洞。

自12月9日该漏洞曝光以来，全球安全团队一直夜以继日地了解Apache Log4j2安全漏洞（CVE-2021-44228）带来的威胁，确定自身面临的风险，并采取缓解措施。关于这一漏洞已有大量报道。该漏洞也称为Log4Shell。简而言之，这是一个远程代码执行漏洞，攻击者可向存在漏洞的应用发送特定数据，触发一系列操作，最终导致目标应用遭到入侵。攻击者可通过多种方式利用此漏洞，例如安装加密货币挖矿程序，或从应用中提取敏感数据。

漏洞、漏洞利用、缓解和修复工作总会带来干扰。F5致力于尽己所能，为客户提供专业知识和支持。F5各团队一直在积极开发工具和指南，帮助本已不堪重负的应用和安全团队缓解这一重大的行业威胁。

我们已对F5产品和服务进行了评估。根据当前信息，BIG-IP、NGINX、Silverline、Volterra和Threat Stack产品不受这些问题影响。对于F5 Managed Services，我们已通过常规沟通渠道联系客户。AskF5上的安全公告将持续提供有关F5产品及Log4j漏洞缓解措施的最新信息：

利用F5产品和服务缓解Log4j漏洞，是降低这些CVE对环境所构成风险的一种快速有效的方法。为实现长期修复，强烈建议客户及其开发团队升级应用程序中所有存在漏洞的Log4j库；如果不再需要，则将其移除。

下文将详细介绍F5如何通过产品和服务组合中全面且响应迅速的安全解决方案提供支持。

F5安全事件响应团队（SIRT）

如果您正遭受攻击或担心漏洞暴露，请联系F5支持，并请求将问题升级至F5 SIRT。该团队全天候提供指导，涵盖F5软件和系统修补、配置及iRule协助，以帮助缓解攻击或漏洞暴露风险。

BIG-IP Advanced WAF

F5已为BIG-IP Advanced WAF和ASM发布了一组签名，用于阻止针对Log4j漏洞的已知攻击途径。截至本文撰写时，F5威胁研究团队共提供了9个签名，其中2个在初始CVE发布后的数小时内即已推出。我们会持续更新这些签名，以增强对绕过尝试的防护，因此请确保已安装最新的攻击签名更新（ASU）包。

可参阅此安全公告，详细了解如何通过现有的BIG-IP Advanced WAF（或ASM）策略缓解这些漏洞。

BIG-IP iRule

对于未使用Advanced WAF或ASM功能的F5 BIG-IP客户，可以将F5 iRule应用于相关应用，以检测、记录并丢弃针对特定CVE的恶意流量。我们最初发布的安全公告提供了有关实施该iRule的更多信息和指导。

NGINX App Protect

NGINX App Protect客户与BIG-IP Advanced WAF客户同步接收特征库更新，确保无论使用哪种F5平台，都能获得一致的应用安全防护。要通过NGINX App Protect配置缓解相关漏洞，请确保特征库已更新，并查看此文档，同时确保已在WAF策略中启用“服务器端代码注入”攻击类型。有关更多背景信息，请参阅近期发布的博客文章。

Volterra WAF

与NGINX App Protect和BIG-IP Advanced WAF一样，我们的Volterra WAF平台也已获得更新的特征码，以进一步缓解与Log4j漏洞相关的潜在风险。这些特征码现已纳入默认WAF策略，Volterra WAF客户无需采取其他措施即可缓解此威胁。

F5 Silverline

F5 Silverline团队已实施必要的缓解措施，确保客户应用免受相关漏洞的影响。F5 SilverlineSOC持续监控威胁，并与我们的威胁研究团队及客户协作，采取必要的缓解和防护措施。Silverline团队相当于您自身AppSec团队的延伸，全天候为您提供支持。

如果对Silverline配置有具体疑问，请通过以下邮箱联系SOC：support@f5silverline.com。如需进一步了解Silverline服务，请访问：https://www.f5.com/products/security/silverline

Threat Stack

F5最近收购了Threat Stack，并引入了Threat Stack服务提供的强大检查、检测和报告功能。Threat Stack服务已包含多项检测规则，可指示Log4j是否遭到入侵，包括以root身份启动服务、从shell运行服务以及尝试提升权限。更多详情请参阅这篇博客文章。

如果您希望了解Threat Stack服务如何帮助保护应用免受当前Log4j威胁、检测异常活动、确保合规并获取全面的应用洞察，请联系您当前的F5销售代表或访问：https://www.threatstack.com

Shape Security

大多数漏洞利用尝试都始于自动侦察。鉴于此，Shape Security的AI驱动型Bot Defense是重要的第一道防线，可消除这些自动扫描，并增加攻击者在面向互联网的Web应用中发现此漏洞的难度。Shape AI Cloud能够近乎实时地适应由机器人发起的自动攻击，从而跟上僵尸网络攻击者不断变化的策略。如需进一步了解Shape，请访问：https://www.f5.com/products/security/shape-security