Apache Log4j 2 漏洞修补临时方案公布

云安全运营中心监测到， Apache Log4j 2 被披露出存在潜在反序列化代码执行漏洞，目前官方还没有正式发布安全公告及版本，漏洞被利用可导致服务器被入侵等危害

为避免您的业务受影响，腾讯云安全建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。

漏洞详情：
Apache Log4j 2是一个开源的日志记录组件，使用非常的广泛。在工程中以易用方便代替了 System.out 等打印语句，它是JAVA下最流行的日志输入工具。
使用 Log4j 2 在一定场景条件下处理恶意数据时，可能会造成注入类代码执行。并影响以此为基础的众多其他组件及应用。

漏洞等级：
高危，该漏洞影响范围极广，危害极大。

漏洞风险：
攻击者利用该漏洞可导致代码执行

影响版本：
Apache log4j2 >= 2.0, <= 2.14.1

修复建议：
Apache官方已发布补丁，建议受影响的用户尽快升级到安全版本。
用户可排查Java应用是否引入 log4j-api , log4j-core 两个jar包，如有使用可考虑使用如下官方临时补丁进行修复:
https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2

其他临时缓解措施：

1. 禁止没有必要的业务访问外网。
2. 设置jvm参数 “-Dlog4j2.formatMsgNoLookups=true”
3. 设置“log4j2.formatMsgNoLookups=True”
4. 系统环境变量“FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS”设置为“true”
   【备注】：建议您在升级前做好数据备份工作，避免出现意外