关于Apache Log4j 2
远程代码执行最新漏洞的风险提示
一、漏洞描述
Apache Log4j
2是一款开源的
Java
的日志记录工具，大量的业务框架 都使用了该组件。
近日，Apache Log4j
的远程代码执行最新漏洞细节被公开，攻击者可 通过构造恶意请求利用该漏洞实现在目标服务器上执行任意代码。可导致 服务器被黑客控制，从而进行页面篡改、数据窃取、挖矿、勒索等行为。 建议使用该组件的用户第一时间启动应急响应进行修复。
二、漏洞等级：紧急
此次漏洞是用于
Log4j2
提供的lookup
功能造成的，该功能允许开 发者通过一些协议去读取相应环境中的配置。但在实现的过程中，并未对 输入进行严格的判断，从而造成漏洞的发生。
三、影响范围：
Java
类产品:Apache Log4j 2.x
<1、可能的受影响应用及组件（包括但不限于）如下：
Apache Solr
Apache Flink
Apache Druid
Apache Struts2
srping-boot-strater-log4j2
ElasticSearch
flume
dubbo
Redis
logst ...