Log4j2 远程代码执行漏洞（附利用及临时修复办法）

Apache Log4j2是一个基于Java的日志记录工具。该工具重写了Log4j框架，并且引入了大量丰富的特性。该日志框架被大量用于业务系统开发，用来记录日志信息。大多数情况下，开发者可能会将用户输入导致的错误信息写入日志中。此次漏洞触发条件为只要外部用户输入的数据会被日志记录，即可造成远程代码执行。

经边界无限安全攻防团队研判后，认定该漏洞影响范围极广，漏洞危害极大。

攻防团队已经成功复现此漏洞

影响判断方式，用户只需排查Java应用是否引入 log4j-api , log4j-core 两个jar。若存在应用使用，极大可能会受到影响。

Apache log4j2 在 2.0 至 2.14.1 版本均受影响。

1. 官方补丁 https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc1

2. 靖云甲应用安全防护模块默认防御此漏洞。

3.解决方案：
log4j2.formatMsgNoLookups=True
紧急方案就第一 网络拦截，第二防止外联，第三吧功能关了

https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc1