继 CVE-2021-44228 之后，已提交了第二个 Log4J CVE：CVE-2021-45046。我们之前针对 CVE-2021-44228 发布的规则针对这个新的 CVE 提供相同级别的保护。
鉴于此漏洞被广泛地利用，使用 Log4J 的任何人士都应该尽快更新到版本 2.16.0，即使您之前已更新到 2.15.0。最新版本可在 Log4J 下载页面上找到。
使用 Cloudflare WAF 的客户可遵循三条规则来帮助缓解任何漏洞利用企图：
规则 ID
描述
默认操作
100514 (旧版 WAF)6b1cc72dff9746469d4695a474430f12 (新版 WAF)
Log4J 标头
阻止
100515 (旧版 WAF)0c054d4e4dd5455c9ff8f01efe5abb10 (新版 WAF)
Log4J 主体
阻止
100516 (旧版 WAF)5f6744fa026a4638bda5b3d7d5e015dd (新版 WAF)
Log4J URL
阻止
漏洞风险通过三条规则缓解，分别检查 HTTP 标头、主体和 URL。
除了上述规则之外，我们还发布了第四条规则，用于防御广泛得多的一系列攻击，其代价是更高的误报率。为此，我们提供了该规则，但未将其默认设置为 BLOCK：
规则 ID
描述
默认操作
100517 (旧版 WAF)2c5413e155db4365befe0df160ba67d7 (新版 WAF)
Log4J 高级 URI，标头
禁用
Log4J 是基于 Java 的功能强大的组件，提供日志记录库，由 Apache Software Foundation 维护。
在不低于 2.0-beta9 且不高于 2.14.1 的所有 Log4J 版本中，攻击者可以利用配置、日志消息和参数中的 JNDI 功能进行远程代码执行。具体来说，攻击者只要能控制日志消息或日志消息参数，就可以在启用消息查找替换的情况下，执行从 LDAP 服务器加载的任意代码。
此外，之前针对 CVE-2021-22448 的缓解措施（如 2.15.0 中所看到的那样）不足以防御 CVE-2021-45046。