一、漏洞概要

二、漏洞分析

Apache Log4j2是一款Java日志框架，是Log4j 的升级版。可以控制每一条日志的输出格式。通过定义每一条日志信息的级别，能够更加细致地控制日志的生成过程。

2021年12月9日，深信服安全团队监测到一则Apache Log4j2组件存在远程代码执行漏洞的信息，并成功复现该漏洞。漏洞威胁等级：严重。

该漏洞是由于Apache Log4j2某些功能存在递归解析功能，攻击者可利用该漏洞在未授权的情况下，构造恶意数据进行远程代码执行攻击，最终获取服务器最高权限。

Apache Log4j2广泛地应用在中间件、开发框架、web应用中。漏洞危害性高，涉及用户量较大，导致漏洞影响力巨大。

目前受影响的Apache Log4j2版本：

2.0 ≤ Apache Log4j <= 2.14.1

1.如何检测组件系统版本

打开项目的pom.xml文件，查看log4j-core的version字段

2.官方修复建议

当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：