openLooKeng社区Apache Log4j2高危安全漏洞修复完成，建议用户升级

近日，openLooKeng注意到Apache Log4j2反序列化远程代码执行漏洞（CVE ID为CVE-2021-44228），并成功进行修复。详细方案如下，建议所有用户升级。

Apache Log4j2远程代码执行漏洞修复解决方案

【漏洞描述】

Apache Log4j2是一个基于Java的日志记录工具。该工具重写了Log4j框架，并引入了大量丰富的特性。该日志框架被广泛地用于中间件、开发框架与Web应用中，用来记录日志信息。

由于组件存在 Java JNDI 注入漏洞，当程序将用户输入的数据记入日志时，攻击者通过构造特殊请求，来触发 Apache Log4j2 中的远程代码执行漏洞，从而利用此漏洞在目标服务器上执行任意代码。目前POC已公开，风险较高。

【漏洞等级】

高危，该漏洞影响范围极广，危害极大。
CVSS评分：9.8

【受影响版本】

Apache log4j 2 在 2.0 至 2.14.1 （均含）版本均受影响。

【openLooKeng漏洞排查】

问题排查一： ESconnector在运行时依赖log4j

继续排查