springboot log4j2远程代码执行漏洞修复

最新推荐文章于 2024-01-16 10:36:28 发布

原创最新推荐文章于 2024-01-16 10:36:28 发布 · 1k 阅读

2 ·

本内容遵循CC 4.0 BY-SA版权协议

标签

#spring boot #java #log4j #log4j2漏洞

收录于

spring boot 专栏收录该内容

34 篇文章

订阅专栏

本文指导如何判断并修复2.0至2.16.0版本Apache Log4j2应用的安全问题，建议升级到2.17.0版本，通过排除旧依赖并添加新依赖来确保安全。

一、影响范围

2.0<=Apache Log4j 2.x <= 2.16.0 影响判断方式:用户只需排查Java应用是否引入log4j-api,log4j-core两个jar。若存在应用使用，极大可能会受到影响。

二、解决办法

官方发布了最新的2.17.0版本的包，只需要将版本升级到2.17.0即可！

详情请查看：https://logging.apache.org/log4j/2.x/maven-artifacts.html

1、排除log4j的依赖

         <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
            <exclusions><!-- 去掉默认配置 -->
                <exclusion>
                    <groupId>org.apache.logging.log4j</groupId>
                    <artifactId>log4j-api</artifactId>
                </exclusion>
            </exclusions>
        </dependency>

2、引入修复后的log4j版本依赖

        <dependency>
            <groupId>org.apache.logging.log4j</groupId>
            <artifactId>log4j-api</artifactId>
            <version>2.17.0</version>
        </dependency>

如果包含log4j-core依赖，同理进行排除和添加 2.17.0 版本的依赖即可！