Log4j2远程代码执行漏洞修复:Log4j2漏洞和Lombok注释@ log4j2

我们使用 spring boot 2.1.5 和 starter parent 作为 pom 依赖。

Spring boot 使用默认 logback 进行日志记录,我们没有明确切换到 Log4j2 或更改任何配置。是我们的项目依赖树。

enter image description here

我们在我们的项目中有很多 lombok @ log4j2 注释。但是,我们在依赖树中发现我们没有任何 log4j2 核心 jar 依赖(已发现容易受到 log4j 最近问题的影响)。

@Log4j2
@Service
@DependsOn("applicationDependencyCheck")

是 lombok @ log4j2 不依赖于 log4j2-core.jar。这是正确的假设这将显示在 maven 依赖树或我们缺少的东西。

这是我们的龙目岛入口-

<dependency>
    <groupId>org.projectlombok</groupId>
    <artifactId>lombok</artifactId>
    <optional>true</optional>
</dependency>

请分享一些见解。

谢谢

3

在 lombok 文档中,您可以在这里找到它https://projectlombok.org/api/lombok/extern/log4j/Log4j2.html

@ Log4j2 公共类 LogExample {}

将生成:

公共类 LogExample {private static final org.apache.logging.log4j.Logger log = org.apache.logging.log4j.LogManager.getLogger (LogExample.class);}

这两个类都存在于 log4jAPI jar

https://logging.apache.org/log4j/2.x/log4j-api/apidocs/org/apache/logging/log4j/LogManager.html https://logging.apache.org/log4j/2.x/log4j-api/apidocs/org/apache/logging/log4j/Logger.html

此处未列出已知漏洞https://mvnrepository.com/artifact/org.apache.logging.log4j/log4j-api

正如这里所描述的https://logging.apache.org/log4j/2.x/log4j-api/index.htmllog4j api 只是一个接口。

我认为在这种情况下,您的代码不依赖于 log4j 核心。您可以仔细检查 build 的输出(例如 maven / target 文件夹,war 文件等)

0

绝对 @ Mariusz W.的答案是最好的。

尽管如此,我注意到您的打印显示了 logback-core-1.2.3[1]的依赖关系,它具有 CVE-2021-42550 漏洞[2]

看着点.

本站系公益性非盈利分享网址,本文来自用户投稿,不代表边看边学立场,如若转载,请注明出处

(392)
Python中if语句用法:finally语句的用法
上一篇
求一款魔方cfop软件:python中的虚拟助手与语音激活
下一篇

相关推荐

  • php中文转拼音:中国美食zhongguomeishi

    PHP中文转拼音是指将中文字符串转换成拼音字符串。 PHP中有一些现成的函数可以实现这一功能,比如pinyin_permalink() 和 pinyin_abbr()等,但是这些函数要求安装PECL扩展,而且拼音转换的结果不够准确,在某些情况下可能会出现乱码。…

    2023-01-12 10:42:22
    0 81 25
  • php画图:为“php画图”的jpg图片

    示例示例PHP画图指的是使用PHP编程语言来创建图像。它可以用于创建动态图像,如统计图表,水印,头像等。要画出一张图片,首先需要创建一个图片资源,然后使用PHP函数在图片上绘制文本或形状。使用函数将图片输出到浏览器中。…

    2023-08-21 04:34:21
    0 81 63
  • Php代码优化:使用PHP优化GIF

    关于Php代码优化的问题,在optimize gif size中经常遇到,我有一个脚本,用于使用网络摄像头捕获视频,并将此视频转换为.gif。…

    2024-02-03 13:19:46
    0 13 81
  • You get:什么时候使用POST 什么时候使用 GET

    关于You get的问题,在post in http中经常遇到,从我可以收集的,有三类:…

    2024-05-04 14:35:14
    0 31 47
  • XX video:每XX秒创建一个视频图像[FFMPEG]

    关于XX video的问题,在xx images中经常遇到,我想使用 FFmpeg 从this video生成以下图像…

    2024-05-18 03:33:54
    0 41 64
  • 蜀门gm命令:我可以将命令与node.js的gm链接在一起吗

    关于蜀门gm命令的问题,在gm forced option中经常遇到,在使用gm(节点的 GraphicsMagick 库)时,是否可以将两个或多个命令链接在一起?…

    2024-04-26 07:39:05
    0 42 67

发表评论

登录 后才能评论

评论列表(76条)