Apache Log4j 2.15.0 解决严重漏洞,官方回应:没移除旧功能导致
IT之家 12 月 12 日消息 , 近期一个 Apache Log4j 远程代码执行漏洞细节被公开 , 攻击者利用漏洞可以远程执行代码 。
目前Apache Log4j 2.15.0 正式版已发布 , 安全漏洞 CVE-2021-44228 已得到解决 。
文章图片
文章图片
根据Apache 软件基金会Logging Services的 PMC 成员Volkan Yaz?c? 的说法 , 本次的漏洞来自于一个旧功能 , 但为了保持向后兼容性 , 就没有移除 。
文章图片
文章图片
Apache Log4j2 是一款优秀的 Java 日志框架 。该工具重写了 Log4j 框架 , 并且引入了大量丰富的特性 。该日志框架被大量用于业务系统开发 , 用来记录日志信息 。大多数情况下 , 开发者可能会将用户输入导致的错误信息写入日志中 。
文章图片
文章图片
【Apache Log4j 2.15.0 解决严重漏洞,官方回应:没移除旧功能导致】IT之家获悉 , 由于 Apache Log4j2 某些功能存在递归解析功能 , 攻击者可直接构造恶意请求 , 触发远程代码执行漏洞 。
Apache Log4j 2.15.0 正式版地址:点此查看
来源:IT之家