Log4j漏洞修复

Apache Log4j是一个功能强大的日志组件，提供方便的日志记录。

 12 月 10 日凌晨，Apache 开源项目 Log4j 的远程代码执行漏洞细节被公开，由于Apache Log4j2某些功能存在递归解析功能，攻击者可直接构造恶意请求，触发远程代码执行漏洞。

此次漏洞的出现，正是由用于 Log4j 2 提供的 lookup 功能造成的，该功能允许开发者通过一些协议去读取相应环境中的配置。但在实现的过程中，并未对输入进行严格的判断，从而造成漏洞的发生。

简单来说，就是在打印日志时，如果发现日志内容中包含关键词 ${，那么这个里面包含的内容会当做变量来进行替换，导致攻击者可以任意执行命令。详细漏洞披露可查看： https://issues.apache.org/jira/projects/LOG4J2/issues/LOG4J2-3201?filter=allissues

版本影响范围

Apache Log4j 2.x <= 2.14.1 版本均会受到影响。

12 月 10 日上午， 阿里云安全团队 再次发出预警，发现 Apache Log4j 2.15.0-rc1 版本存在漏洞绕过，建议及时更新至 Apache Log4j 2.15.0-rc2 版本。

根据微步在线研究响应中心消息，可能的受影响应用包括但不限于：Spring-Boot-strater-log4j2、Apache Struts2、Apache Solr、Apache Flink、Apache Druid、Elasticsearch、Flume、Dubbo、Redis、Logstash、Kafka 等。

临时修复建议（任选一种）

• 禁止使用log4j的服务器外连
• 添加 jvm 启动参数-Dlog4j2.formatMsgNoLookups=true
• 在应用 classpath 下添加 log4j2.component.properties 配置文件，文件内容为 log4j2.formatMsgNoLookups=true
• 将系统环境变量 FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS 设置为 true
• 升级Java版本至JDK 11.0.1、8u191、7u201、6u211或更高版本
• 部署使用第三方防火墙产品进行安全防护

log4j版本升级2.16.0

一、查看当前log4j版本

首先需要确认下当前项目是否引入了log4j？引入的log4j版本是多少？有些项目可能没有直接引入，但引入的其他组件中使用了log4j，所以需要仔细排查一下。

先检查了一下项目的pom文件，发现并未用到log4j，但是解压jar包后发现lib库中有log4j-api-2.11.1.jar，应该是依赖库中用到了log4j。

这里，我们可以使用IDEA编译器带的maven show dependencies功能来分析。

可以在IDEA找到项目的pom.xml文件，右键找到show dependencies。打开后如下，找到对应的log4j的依赖图：

 可以看到log4j是否被依赖，且可以查看版本。

二、升级log4j版本

在工程pom里面添加如下的依赖：

<dependency>
    <groupId>org.apache.logging.log4j</groupId>
    <artifactId>log4j-api</artifactId>
    <version>2.16.0</version>
</dependency>
<dependency>
    <groupId>org.apache.logging.log4j</groupId>
    <artifactId>log4j-to-slf4j</artifactId>
    <version>2.16.0</version>
</dependency>