12 月 12 日訊息，近期一個 Apache Log4j 遠端程式碼執行漏洞細節被公開，攻擊者利用漏洞可以遠端執行程式碼。

目前Apache Log4j 2.15.0 正式版已釋出，安全漏洞 CVE-2021-44228 已得到解決。

根據Apache 軟體基金會Logging Services的 PMC 成員Volkan Yazıcı 的說法，本次的漏洞來自於一箇舊功能，但為了保持向後相容性，就沒有移除。

Apache Log4j2 是一款優秀的 Java 日誌框架。該工具重寫了 Log4j 框架，並且引入了大量豐富的特性。該日誌框架被大量用於業務系統開發，用來記錄日誌資訊。大多數情況下，開發者可能會將使用者輸入導致的錯誤資訊寫入日誌中。

獲悉，由於 Apache Log4j2 某些功能存在遞迴解析功能，攻擊者可直接構造惡意請求，觸發遠端程式碼執行漏洞。

Apache Log4j 2.15.0 正式版地址：點此檢視