关于星河学院

星河学院是江苏中新赛克工业互联网安全技术创新中心安全人才培养的摇篮和安全技术创新的源泉，聚焦于工业互联网安全、物联网安全等相关领域的前沿技术研究与安全人才培养，致力于用新技术构建工业互联网安全纵深防御体系。

一.漏洞描述

Apache Log4j2是一款开源的 Java 日志记录工具，该日志框架被大量用于业务系统开发，用来记录日志信息。此次漏洞是由于 Log4j2 在记录错误日志的过程中，并未对输入进行严格的判断，在打印错误日志的过程中会触发该漏洞。

二. 受影响版本

Apache Log4j 2.x <= 2.15.0-rc1

三. 部分使用该框架的组件

Spring-Boot-strater-log4j2

Apache Struts2

Apache Solr

Apache Flink

Apache Druid

ElasticSearch

flume

dubbo

Redis

logstash

Kafka

漏洞流量包：

四. 复现截图

五. 检测规则

六. 修复方案

1、官方发布rc1版本后发现可被绕过，紧急发布rc2修复此漏洞

https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2

中新赛克星河企业安全管理中心云端已自动升级更新，同时支持对该漏洞进行全面检测，并已发布相关告警信息，后续也将对该漏洞信息持续更新报道。

七. 云检测申请

针对此次安全事件，中新赛克将面向用户提供远程检测服务。

由于本次漏洞检测存在一定风险，相关客户可拨打官方电话：025-52627967申请云检测，专业安全团队将7*24h为您提供全方位安全服务！