Log4j2 漏洞复现及解决方案

背景

最近IT圈爆出的 Apache Log4j2 存在重大安全漏洞问题，当 Log4j2 版本在 2.15.0 以前（2.0 <= V <= 2.14.1），相关应用程序或中间件如 ES、Redis 等均会受此漏洞影响。不过目前 apache 官方已经修复了此漏洞。

漏洞复现程序

Log4j2 lookup 漏洞复现程序

修复指南

推荐修复指南1：升级 log4j2 接口及实现版本至最新版（2.15.0）

<dependencies>
    <!-- log4j2 facade, fixed 2.15.0 -->
    <dependency>
        <groupId>org.apache.logging.log4j</groupId>
        <artifactId>log4j-api</artifactId>
        <version>2.15.0</version>
    </dependency>

    <!