我鮳，Log4j2突发重大漏洞，我们也中招了。。

长话短说吧。

相信大家已经被 Log4j2 的重大漏洞刷屏了，估计有不少小伙伴此前为了修 bug 已经累趴下了。很不幸，我的小老弟小二的 Spring Boot 项目中恰好用的就是 Log4j2，版本特喵的还是 2.14.1，在这次漏洞波及的版本范围之内。

第一时间从网上得知这个漏洞的消息后，小二吓尿了。赶紧跑过来问老王怎么解决。

老王先是给小二提供了一些临时性的建议，比如说：

JVM 参数添加 -Dlog4j2.formatMsgNoLookups=true
log4j2.formatMsgNoLookups=True
FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS 设置为true

此后，老王时刻关注着 Log4j2 的官网和 Spring Boot GitHub 仓库的最新消息。

Java 后端开发的小伙伴应该都知道，Log4j、SLF4J、Logback 这 3 个日志组件是一个爹——Ceki Gulcu，但 Log4j 2 却是例外，它是 Apache 基金会的产品。

所以这波超级高危漏洞的锅必须得由 Apache 来背。并且波及范围非常广，已知受影响的应用程序和组件有：

• Spring-boot-strater-log4j2
• Apache Solr
• Apache Flink
• Apache Druid

并且只要是在 Log4j 2.x <= 2.14.1 之间的版本，都将受到影响——注定被载入史册的一波 bug 啊。

目前，Log4j2 的官网已经发布了 Log4j2 2.15.0 正式版，来解决此次漏洞。