近日, Apache Log4j2 的远程代码执行漏洞细节被公开，经过快速分析和确认，该漏洞影响范围极其广泛，危害极其严重，微步在线建议企业第一时间启动应急响应进行修复。

漏洞排查工具

为帮助广大企业更好排查自身资产设备是否受该漏洞影响，经由微步工程师深入分析研究，现提供自查工具方便广大企业进行漏洞资产排查：https://static.threatbook.cn/tools/log4j-local-check.sh

☞ 工具原理：

首先通过读取系统中所有打开的文件，来读取所有加载了的 log4j 的 jar 包，然后识别 log4j 2.x 的 jar 包文件名特征，来识别出结果,如果没检测出来，则对其他 jar 包进行正则匹配 log4j-core，看是否有引用该 jar 包，如果显示 jar 包路径，则说明存在该漏洞，没有则说明没有直接加载log4j对应jar包。

☞ 使用方法：

chmod +x ./log4j-local-check.sh

./log4j-local-check.sh

FAQ

我们整理了一部分大家关注的问题进行答复，希望能帮助广大企业完成此次漏洞应急处理：

1.目前该漏洞具体受影响的版本都有哪些？

log4j2 2.0 - log4j2 2.15.0-rc1

log4j 1.x，需配合 JMS Appender 才可被利用（该种利用方式目前尚未有公开信息）

2.官方提供的 rc1 补丁是否确定已经被 bypass？

rc1 中漏洞 patch 方案虽被绕过，但 rc1 中 log4j2.formatMsgNoLookups 默认为 true，只要不修改该选项 rc1 依旧无法利用成功，不放心的用户也可更新至最新版：

https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2

3.应急修复方案：

1. 对于 2.10 以下版本，建议升级至最新版 log4j-2.15.0-rc2

2. 对于 2.10 及以上版本版本，有如下缓解措施：

A. 设置 jvm 参数 “-Dlog4j2.formatMsgNoLookups=true”

B. 在项目 classpath 目录下添加 log4j2.component.properties 配置文件，设置 log4j2.formatMsgNoLookups=true

C. 设置系统环境变量：“LOG4J_FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS” 设置为 “true”

相关受影响的应用：

应用	受影响版本
Spring-Boot-strater-log4j2	全版本
Apache Struts2	全版本
Apache Solr	已经在9.0和8.11.1修复
Apache Flink	1.11.0-rc1 到 1.14.0
Apache Druid	0.7.x以上
Alibaba Druid	1.0.15以及以上
ElasticSearch	5.x，6.x和7.x
Logstash	5.0.0至最新
log4j2-redis-appender	全版本
Apache Dubbo	2.7.x以及3.0.x
Hadoop Hive	2.x和3.x
hadoop hbase	3.0.0-alpha-1
Mycat	1.6.x
OpenCms	build_11_0_0_beta到最新