Log4j CVE-2021-44228 漏洞及Spring Boot解决方案

Log4j 的2 到 2.14 版本最近爆出了一个比较大的漏洞，漏洞编号是CVE-2021-44228。本篇对该漏洞进行简单介绍， 并介绍Spring Boot项目如何解决该漏洞。

CVE-2021-44228 漏洞

• 漏洞简介： 攻击者可以远程执行代码。（RCE远程代码攻击， Remote Code Execution）
• 漏洞细节： 输入包含恶意服务器的JNDI查找是， Log4j 解析JNDI 查找， 连接到服务器，并从服务器下载序列化的Java代码，在反序列化的时候执行这些恶意代码。

该漏洞的详细介绍，参考 CVE-2021-44228。

Log4j 的解决方法

Log4j 在发现该方案之后， 马上发布了新的版本， 在新版本种通过“默认禁用了JNDI访问， 消息查找功能完全删除”的方式来解决该漏洞， 针对不同的JDK版本，　发布了对应的Log4j 版本， 具体的是：

• Java 7 ： 发布了2.12.2 ，
• Java 8：发布了2.16.0