一. 漏洞概述

当地时间12月19号，Apache官方发布了一则Apache Log4j 存在反序列化可导致远程代码执行(CVE-2019-17571)漏洞的通告。Log4j是美国阿帕奇（Apache）软件基金会的一款基于Java的开源日志记录工具。Log4j 1.2版本中包含一个SocketServer类，在未经验证的情况下，该SocketServe类很容易接受序列化的日志事件并对其进行反序列化，在结合反序列化工具使用时,可以利用该类远程执行任意代码。

参考链接：

https://www.mail-archive.com/announce@apache.org/msg05620.html

二. 影响范围

受影响版本

Apache Log4j <= 1.2.17

Apache Log4j的1.X版本官方在2015年8月已停止维护

三. 漏洞防护

3.1 官方升级

目前官方已在Apache Log4j 2.8.2版本中修复了该漏洞，请受影响的用户升级至2.8.2 或更高的版本进行防护，下载链接：https://logging.apache.org/log4j/2.x/download.html

3.2 临时缓解措施

若相关用户暂时无法进行升级操作，也可通过禁止Log4j中SocketServer类所启用的socket端口对公网开放来进行防护。