颤抖吧 Javaer， log4j 史诗级漏洞

[eviladan0s]

漏洞预警： https://mp.weixin.qq.com/s/WBbAthHY36qY0w9e4UUl4Q

本质上是 log4j 里的 lookup 方法存在 jndi 注入（看图）： https://adan0s-1256533472.cos.ap-nanjing.myqcloud.com/uPic/20211210091200YOXTYd.jpg

百度、谷歌、苹果的框全都沦陷了： https://adan0s-1256533472.cos.ap-nanjing.myqcloud.com/uPic/202112100913225Wncr7.png

修复措施： 在 log4j2.component.properties 配置文件中设置 log4j2.formatMsgNoLookups=true ，可以暂时缓解避免受漏洞的影响。

之所以是史诗级，是因为不仅 log4j 使用范围广，而且日志数据你不知道流到哪里的 log4j 就会触发

[jsjjdzg]

logback 依赖不是 slf4j 嘛？还是 slf4j 底层是用 log4j 实现的？

[legendORld]

已经把文章发到群里面了，让公司大佬们处理吧

[fpure]

@pigspy 他可能说的是桥接器

[youxiachai]

按道理... 这个默认不是关的吗...

[kernelpanic]

linkedin 也没修复

[zxCoder]

写个日志都不安全，牛逼啊

[johnj]

@conhost logback 和 log4j 是独立的

[Jwyt]

@conhost 这怎么可能，那 logback 作者离开 log4j 干嘛?

[ohwind]

@aguesuka 阿里的 fastjson 也有过高危漏洞，建议别用阿里的任何东西。
二极管思维能不能消停点

[Jwyt]

@jsjjdzg slf4j 只是上层接口，没有具体实现阿，怎么会有用 log4j 实现这一说

[encounter2017]

@conhost https://mvnrepository.com/artifact/ch.qos.logback/logback-classic/1.2.7
不是吧，测试有依赖的 log4j1 ，编译没有依赖

[leiuu]

颤抖吧...

[aguesuka]

@Crystal8899 https://github.com/apache/logging-log4j2/blob/b93cdf94167691cf509c15f69f3857abaaa80765/log4j-core/src/main/java/org/apache/logging/log4j/core/lookup/Interpolator.java
https://github.com/apache/logging-log4j2/blob/b93cdf94167691cf509c15f69f3857abaaa80765/log4j-core/src/main/java/org/apache/logging/log4j/core/lookup/JndiLookup.java
https://github.com/apache/logging-log4j2/blob/b93cdf94167691cf509c15f69f3857abaaa80765/log4j-core/src/test/java/org/apache/logging/log4j/core/lookup/JndiLookupTest.java

完全没有 jndi 注入的意识.

[pkoukk]

@aguesuka
logstash 也有引用，elk 不打算用了？

[ixx]

@sagaxu #13 确认了一下 参数传入也会触发

[chawuchiren]

怎么升级呢，最新的 log4j 2.15.0 ,有一个包需要 jdk9 。 我们还在用 jdk8

[aguesuka]

@pkoukk 像大家一起不用 Struts 一样不用它

[Jwyt]

@chawuchiren 顺便把 jdk 也升了(

[kappa]

@zmxnv123 HN 热贴了还叫没报道？ https://news.ycombinator.com/item?id=29504755

[Nich0la5]

笑死 我们手忙脚乱查了一遍得出结论，log4j 版本太低，没这个漏洞