KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2019-17571 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Apache Log4j是美国阿帕奇（Apache）软件基金会的一款基于Java的开源日志记录工具。
log4j1.2中包含一个SocketServer类，该类易受不可信数据反序列化的攻击，当监听日志数据的不可信网络流量时，该类与反序列化小工具结合使用，可远程执行任意代码。这会影响到1.2到1.2.17的Log4j版本。
影响范围
应用：apache log4j（影响面 Up to (including) 1.2.17）
系统：amazon_2 log4j（影响面 Up to (excluding) 1.2.17-17.amzn2）
系统：amazon_AMI log4j（影响面 Up to (excluding) 1.2.17-16.12.amzn1）
系统：anolis_os_7 log4j（影响面 Up to (excluding) 1.2.17-18）
系统：centos_7 log4j（影响面 Up to (excluding) 1.2.17-16.el7_4）
系统：debian_10 apache-log4j1.2（影响面 Up to (excluding) 1.2.17-8+deb10u1）
系统：debian_11 apache-log4j1.2（影响面 Up to (excluding) 1.2.17-9）
系统：debian_12 apache-log4j1.2（影响面 Up to (excluding) 1.2.17-9）
……另有 7 项受影响环境，详见官方公告
解决方案
1、Log4j 1.2.x版本已不再维护，建议用户升级Log4j至2.8.2安全版本：https://logging.apache.org/log4j/2.x/
2、未使用Log4j SocketServer类将不受此漏洞影响，建议自查并禁止使用该类创建监听服务。
参考信息
http://lists.opensuse.org/opensuse-security-announce/2020-01/msg00022.html
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。