最新log4j2 远程代码执行漏洞（紧急扩散）

痛定思痛。 2023-10-01 09:05 6阅读 0赞

![watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAUm9jLXhi_size_20_color_FFFFFF_t_70_g_se_x_16][]

**目录**

一、问题描述

二、漏洞简介

三、临时解决方案

--------------------

## 一、问题描述 ##

在12月9日晚间出现了Apache Log4j2 远程代码执行漏洞攻击代码。该漏洞利用无需特殊配置，经多方验证，Apache Struts2、Apache Solr、Apache Druid、Apache Flink等均受影响。Apache Log4j2是一款流行的Java日志框架，建议广大交易所、钱包、DeFi项目方抓紧自查是否受漏洞影响，并尽快升级新版本。

Apache Log4j2是一个基于Java的日志记录工具。该工具重写了Log4j框架，并且引入了大量丰富的特性。该日志框架被大量用于业务系统开发，用来记录日志信息。大多数情况下，开发者可能会将用户输入导致的错误信息写入日志中。此次漏洞触发条件为只要外部用户输入的数据会被日志记录，即可造成远程代码执行。

经边界无限安全攻防团队研判后，认定该漏洞影响范围极广，漏洞危害极大。

影响判断方式，用户只需排查Java应用是否引入 log4j-api , log4j-core 两个jar。若存在应用使用，极大可能会受到影响。

## 二、漏洞简介 ##

> **漏洞名称** : Apache Log4j2远程代码执行漏洞
> 
> **组件名称** : Apache Log4j2
> 
> **影响版本** : 2.0 ≤ Apache Log4j <= 2.14.1
> 
> **漏洞类型** : 远程代码执行
> 
> **利用条件** :
> 
> 1、用户认证：不需要用户认证  
> 2、前置条件：默认配置  
> 3、触发方式：远程
> 
> **综合评价** :
> 
> <综合评定利用难度>：容易，无需授权即可远程代码执行。
> 
> <综合评定威胁等级>：严重，能造成远程代码执行。

## 三、临时解决方案 ##

当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。

下载地址：[Release log4j-2.15.0-rc1 · apache/logging-log4j2 · GitHub][Release log4j-2.15.0-rc1 _ apache_logging-log4j2 _ GitHub]

[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAUm9jLXhi_size_20_color_FFFFFF_t_70_g_se_x_16]: https://img-blog.csdnimg.cn/c83cd5967bea4ea7a5c8045e4df6d909.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAUm9jLXhi,size_20,color_FFFFFF,t_70,g_se,x_16
[Release log4j-2.15.0-rc1 _ apache_logging-log4j2 _ GitHub]: https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc1