【安全风险提醒】Apache Log4j2远程代码执行漏洞风险提醒
尊敬的微信支付商户，您好！
微信支付安全团队监测到， Apache Log4j2被披露出存在严重代码执行漏洞，漏洞被利用可导致你的服务器被入侵等危害，如你的系统运用上述第三方开源组件，可能对你的系统和资金安全造成影响。
为避免您的业务受影响，建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。
漏洞详情
Apache Log4j2是一个开源的日志记录组件，使用非常的广泛。在工程中以易用方便代替了 System.out等打印语句，它是Java下最流行的日志输入工具。
使用 Log4j2在一定场景条件下处理恶意数据时，可能会造成注入类代码执行。
由于Log4j2作为日志记录基础第三方库，被大量Java框架及应用使用，只要用到Log4j2进行日志输出且日志内容能被攻击者部分可控，即可能会受到漏洞攻击影响。因此，该漏洞也同时影响全球大量通用应用及组件，例如 ：
Apache Struts2
Apache Solr
Apache Druid
Apache Flink
Apache Flume
Apache Dubbo
Apache Kafka
Spring-boot-starter-log4j2
ElasticSearch
Logstash
…
建议及时检查并升级所有使用了Log4j2组件的系统或应用，可使用依赖分析工具来查看项目所有的依赖，请参考文末官方指引说明
风险等级
高风险
漏洞风险
攻击者利用该漏洞可导致任意代码执行
影响版本
Apache log4j 2.x< 2.15.0-rc2
修复建议
请密切关注官方最新版本发布，并关注服务器的异常行为。
用户可排查Java应用是否引入log4j-api , log4j-core两个jar包，如有使用可考虑使用如下官方临时补丁进行修复:
https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2
其他临时缓解措施：
1. 禁止没有必要的业务访问外网
2. 设置jvm参数 “-Dlog4j2.formatMsgNoLookups=true”
3. 设置“log4j2.formatMsgNoLookups=True”
4. 系统环境变量“FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS”设置为“true”
【提醒】：建议您在升级前做好数据备份工作，避免出现意外
漏洞参考
https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2
依赖分析工具官方指引参考：
maven：https://maven.apache.org/plugins/maven-dependency-plugin/usage.html#dependency:tree
gradle：https://docs.gradle.org/current/userguide/viewing_debugging_dependencies.html
IDEA开发工具：https://www.jetbrains.com/help/idea/dependencies-analysis.html#dependency-viewer