Apache Log4j2是一个基于Java的日志记录工具，当前被广泛应用于业务系统开发，开发 者可以利用该工具将程序的输入输出信息进行日志记录。2021年11月24日，阿里云安全团队向Apache官方报告了Apache Log4j2远程代码执行漏 洞。该漏洞是由于Apache Log4j2某些功能存在递归解析功能，导致攻击者可直接构造恶 意请求，触发远程代码执行漏洞，从而获得目标服务器权限。漏洞

该漏洞是由长亭科技安全研究员发现的存在于 Tomcat 中的安全漏洞，由于 Tomcat AJP 协议设计上存在缺陷，攻击者通过 Tomcat AJP Connector 可以读取或包含 Tomcat 上所有 webapp 目录下的任意文件，例如可以读取 webapp 配置文件或源代码。此外在目标应用有文件上传功能的情况下，配合文件包含的利用还可以达到远程代码执行的危害。