Apache log4j 史诗级漏洞、补救方法

国家互联网应急中心https://www.cert.org.cn/publish/main/8/2021/20211210110550958546708/20211210110550958546708_.html

国家互联网应急中心都发布了，作为Java界日志工具的杠把子，Log4j和Logback几乎统一了江湖，如今被爆出"高危漏洞" 真的让开发人员连夜改修复漏洞。漏洞的具体内容如图我就不多说了，，相关的企业肯定都收到了排查通知书。我们项目组也不另外，下面是整理的一些补救措施。

1：升级jar，pom.xml直接修改版本号，一直没有主动加载到，最后一查，kao,maven中央仓库里面还没收录这个jar包。。。截至我写稿，apache官方的maven也没有。。。

 

 

2：那只能你自己替换jar 了，但是又比较麻烦，每次打包发版啥的也不方便

不过这里也提供一个官方补丁的下载地址：

https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc1https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc1后面一看。。这个版本还是有问题，官方发布了第二个补丁版本

https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc23：项目启动的修改启动参数

-Dlog4j2.formatMsgNoLookups=true

这个主要是定位到漏洞的位置，JndiLookup.java 里面的这段代码

 不过，我已经决定转换logback了。