log4j2 的漏洞大家今天晚上修复吗?

[Jooooooooo]

没想到继 fastjson 之后还有这一出.

[xbchaonba]

苹果云应为这个漏洞被搞了吗，一直登录不了

[matepi]

@play78 ldap 只是一种利用手段的演示而已，rmi 的方法多了去了

[sha851092391]

快速验证是否有这个问题： https://issues.apache.org/jira/browse/LOG4J2-3202
修复措施：直接升级到 2.15.0 版本
临时修复措施： 增加 log4j2.component.properties 配置文件，配置为 log4j2.formatMsgNoLookups=true

[yiywain]

没有过哎

[janda]

用的 springboot 、也看了 mvn 仓库没有、这个咋更新
```pom
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-log4j2</artifactId>
</dependency>
```

[ivancai]

是 log4j2 有问题还是 log4j 都有这个问题？

[NULL2020]

没人说说刚发布的版本怎么编译打包吗？

[wbd31]

@sha851092391 log4j2.formatMsgNoLookups 这个配置只有在 2.10.0 之后的版本才生效。

[sshang]

@ivancai log4j2 就是 log4j 的 2.x 版本，artifact 就是 log4j

[sagaxu]

官方真急了，禁用了这个功能，把开关都去掉了，官网文档也找不到这个配置项了

[issakchill]

@NULL2020 我先用着 2.15.0 顶着 aliyun 库有

[pocketz]

@NULL2020
官方文档，可以参考一下
https://logging.apache.org/log4j/2.x/build.html

[windrun]

@NULL2020
https://repo.maven.apache.org/maven2/org/apache/logging/log4j/log4j-api/2.15.0/

[janda]

@janda
maven 更新：

<!--Log4j-->
<dependency>
<groupId>org.apache.logging.log4j</groupId>
<artifactId>log4j-core</artifactId>
<version>2.15.0</version>
</dependency>
<dependency>
<groupId>org.apache.logging.log4j</groupId>
<artifactId>log4j-api</artifactId>
<version>2.15.0</version>
</dependency>

[deadofpeople]

官网的 2.15.0 是 RC2 版本么

[NULL2020]

@pocketz #52 没用，报错


@issakchill #51 我在阿里仓库网站上能搜索到，但 idea 下载不了

[VIVVACI]

@adamwhite 日志可不能随便关啊，出了问题日志是 debug 的最重要的依据之一，不能因噎废食

[jamzhou]

确定 log4j-api 也受影响吗，我这边通过尝试构建攻击参数，并未能复现注入攻击。
而 2.14.1 上，的确可以让记录日志的时候，注入远程执行。

[BigDogWang]

1.7 版本没事吧

[a594195609]

@NULL2020 你看错了吧？阿里云仓库里目前能搜得到的是非官方的，groupId 不一样的，大小都差很远，不敢用。