Apache Log4j 2 漏洞

最新推荐文章于 2024-03-08 15:43:00 发布

LuckyDog9527

最新推荐文章于 2024-03-08 15:43:00 发布

阅读量405

点赞数 3

文章标签： apache java 开发语言

本文链接：https://blog.csdn.net/tryHelloboy/article/details/121863002

版权

在这里插入图片描述

查看项目的pom.xml文件中是否存版本号小于2.15.0 则存在该漏洞。
解决办法：
1.
建议升级为2.15.0-rc2版本
下载地址：
github：https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2

gitee：https://gitee.com/faith-v/logging-log4j2/releases/log4j-2.15.0-rc2

2.
如果项目没有使用log4j 而是别的jar依赖自动导入的可以在pom中加以下配置排除

		    <exclusions>
		    <exclusion>
		      <groupId>org.apache.logging.log4j</groupId>
		      <artifactId>log4j-api</artifactId>
		    </exclusion>
		    <exclusion>
		      <groupId>org.apache.logging.log4j</groupId>
		      <artifactId>log4j-core</artifactId>
		    </exclusion>
		    <exclusion>
		      <groupId>log4j</groupId>
		      <artifactId>log4j</artifactId>
		    </exclusion>
		  </exclusions>

例如：排除阿里云schedulerx2中的log4j

	<!-- 分布式2.0-->
	<dependency>
		<groupId>com.aliyun.schedulerx</groupId>
		<artifactId>schedulerx2-worker</artifactId>
		<version>1.3.0.3</version>
	    <exclusions>
	    <exclusion>
	      <groupId>org.apache.logging.log4j</groupId>
	      <artifactId>log4j-api</artifactId>
	    </exclusion>
	    <exclusion>
	      <groupId>org.apache.logging.log4j</groupId>
	      <artifactId>log4j-core</artifactId>
	    </exclusion>
	    <exclusion>
	      <groupId>log4j</groupId>
	      <artifactId>log4j</artifactId>
	    </exclusion>
	  </exclusions>			
	</dependency>

2021-12-13 补充：
log4j 2.15.0 已正式已发布，可以在项目中直接引入
maven地址：https://mvnrepository.com/

	<dependency>
	    <groupId>org.apache.logging.log4j</groupId>
	    <artifactId>log4j-core</artifactId>
	    <version>2.15.0</version>
	</dependency>		
	<dependency>
	    <groupId>org.apache.logging.log4j</groupId>
	    <artifactId>log4j-api</artifactId>
	    <version>2.15.0</version>
	</dependency>