log4j2高危漏洞,排除log4j2依赖。

抹香鲸之海

已于 2022-03-08 18:50:39 修改

阅读量5.4k

点赞数 1

分类专栏： Spring 文章标签： java spring boot 安全

于 2021-12-13 14:24:52 首次发布

本文链接：https://blog.csdn.net/u010797364/article/details/121904438

版权

Log4j2 安全漏洞依赖管理排除法修复措施

关键词由CSDN通过智能技术生成

Spring 专栏收录该内容

31 篇文章 4 订阅

订阅专栏

Log4j2是一款优秀的java日志框架，被大量用于业务开发，可能项目本身没有直接使用，但是引用的依赖包中仍然可能用到。只要用户输入的数据会被日志记录，就可被成功攻击。

影响范围Apache Log4j 2.x <= 2.15.1-rc1。

只影响到log4j2，并不影响log4j，如果你是log4j则不用担心。

Log4j和Log4j2的区别：
log4j只需要引入一个jar包即可，

<dependency>
 <groupId>log4j</groupId>
 <artifactId>log4j</artifactId>
 <version>1.2.17</version>
</dependency>

而log4j 2则是需要2个核心：

<dependency>
 	<groupId>org.apache.logging.log4j</groupId>
 	<artifactId>log4j-core</artifactId>
 	<version>2.5</version>
</dependency>

<dependency>
 	<groupId>org.apache.logging.log4j</groupId>
 	<artifactId>log4j-api</artifactId>
 	<version>2.5</version>
</dependency>

我查看了一下我们的项目依赖图：
下面是如何用IDEA查看类之间的继承关系

选中你要查看的某个类或者接口,右键出现如下选项,按图操作:
在这里插入图片描述

在这里插入图片描述
这个是第三方依赖内部引入了 log4j2 的两个核心包2.11.1的版本，看来我这里也有漏洞。

如果是加急处理先找到父级依赖，先把这两个包排除掉就行了。
找到要排除Jar的和，使用exclusion排除。

		<!-- spring security 安全认证 -->
		<dependency>
			<groupId>org.springframework.boot</groupId>
			<artifactId>spring-boot-starter-security</artifactId>
			<exclusions>

				<exclusion>
					<groupId>org.apache.logging.log4j</groupId>
					<artifactId>log4j-api</artifactId>
				</exclusion>

				<exclusion>
					<groupId>org.apache.logging.log4j</groupId>
					<artifactId>log4j-web</artifactId>
				</exclusion>

			</exclusions>
		</dependency>