近日，赤豹安全实验室监测到 Log4j 官方公开了一个远程命令执行漏洞，利用已公开所有java开发系统中的调用log4j的都有可能受到影响。该漏洞影响范围广，利用难度低，请相关用户及时修复并加以防范 ，防止漏洞攻击发生。

漏洞介绍

Apache Log4j 2 是一款基于Java的优秀开源日志框架，被大量用于业务系统开发，用来记录日志信息。由于Apache Log4j 2某些功能存在递归解析功能，攻击者可直接构造恶意请求，触发远程代码执行漏洞。

影响版本

Apache Log4j 2.x <= 2.14.1

漏洞级别

严重 ★★★★

用户只要排查Java应用是否引入log4j-api , log4j-core 两个jar。若存在极可能会受到影响。

修补建议

该漏洞影响范围广，利用难度低，赤豹安全实验室建议相关用户及时修复并加以防范 ，防止漏洞攻击发生。

1、升级Apache Log4j2所有相关应用到最新的 log4j-2.15.0-rc1 版本，地址 https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc1

2、升级已知受影响的应用及组件，如srping-boot-strater-log4j2/Apache Solr/Apache Flink/Apache Druid