Log4j CVE-2021-44228

解决方案

请思考你是否真的需要 Log4j2 Core。大多数情况下，你自己的代码（或你依赖的某个第三方库）只需要 Log4j 的日志 API 门面，但可以记录到另一个后端。因此，你可以直接完全排除 org.apache.logging.log4j:log4j-core 依赖。

使用几种可用的 "日志 API 桥接器" 之一，将（仅）log4j-api 连接到另一个日志实现后端：

1. Log4j2-SLF4j-Logback，使用 log4j-to-slf4j

2. Log4j2-to-JUL，源自 LOG4J2-3282（由我提出），正如 https://github.com/vorburger/Learning-Log4j2 所示。

如果你或你的云服务提供商为相应的后端已具备现有基础设施，那么这一点尤其有意义：

• Google Cloud Logging Logback Appender，参见 GitHub，以及 Spring Framework 集成

背景

• https://logging.apache.org/log4j/2.x/security.html
• https://github.com/advisories/GHSA-jfh8-c2jp-5v3q
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-44228

检测与扫描、攻击面

• https://github.com/github/codeql/pull/7354
• https://github.com/google/tsunami-security-scanner-plugins/issues/219
• https://github.com/YfryTchsGD/Log4jAttackSurface (附 Memes)

缓解措施

• https://github.com/apache/logging-log4j2/pull/608
• https://spring.io/blog/2021/12/10/log4j2-vulnerability-and-spring-boot
• https://community.openhab.org/t/openhab-and-the-log4j-security-vulnerability/129901
• https://github.com/vorburger/MariaDB4j/issues/509

漏洞利用

• https://www.lunasec.io/docs/blog/log4j-zero-day/#exploit-steps