一 漏洞概述

当地时间12月19号，Apache官方发布了一则Apache Log4j 存在反序列化可导致远程代码执行(CVE-2019-17571)漏洞的通告。Log4j是美国阿帕奇（Apache）软件基金会的一款基于Java的开源日志记录工具。Log4j 1.2版本中包含一个SocketServer类，在未经验证的情况下，该SocketServe类很容易接受序列化的日志事件并对其进行反序列化，在结合反序列化工具使用时,可以利用该类远程执行任意代码。

二 漏洞危害

攻击者利用此漏洞，可造成远程代码执行。

三 影响版本

Apache Log4j <= 1.2.17

四 复现过程

无

五 影响范围

根据 ZoomEye 网络空间搜索引擎[1]对关键字 “Apache Log4j” 进行搜索，共得到 237 条 IP 历史记录，主要分布在美国、中国等国家。

六 修复建议

1. 目前官方已在Apache Log4j 2.8.2版本中修复了该漏洞，请受影响的用户升级至2.8.2 或更高的版本进行防护，下载链接：https://logging.apache.org/log4j/2.x/download.html

七 相关链接

ZoomEye 网络空间搜索引擎：https://www.zoomeye.org/searchResult?q=Apache%2BLog4j