文章详情

短信预约-IT技能 免费直播动态提醒

请输入下面的图形验证码

提交验证

短信预约提醒成功

Spring Boot 应对 Log4j2 注入漏洞官方指南

2024-12-02 13:44

关注

 Log4J2漏洞涉及的影响太广了,昨天发文后很多粉丝留言问Spring Boot项目是否受到Log4J2漏洞影响。Spring官方已经全面进行了排查,现在大家可以知道这些信息和应对方法。

默认配置不受影响

Spring Boot默认日志组件是logback,开发者通过日志门面Slf4j进行集成对接。Spring Boot 用户只有在将默认日志系统切换到 Log4J2 时才会受到此漏洞的影响。Spring Boot包含的log4j-to-slf4j和log4j-api、spring-boot-starter-logging不能独立利用。只有log4j-core在日志消息中使用和包含用户输入的应用程序容易受到攻击。

也就是说Spring Boot现在包含Log4J2的依赖只要你不启用是不会触发漏洞的。

下版本更新补丁

Spring Boot将在2021 年 12 月 23 日后发布的 2.5.8 和 2.6.2 版本将采用打了补丁的Log4J v2.15.0,但由于这是一个极其严重的漏洞,一定要覆盖我们的依赖项管理并尽快升级您的 Log4J2 依赖项。

Maven用户

对于 Maven 用户,您可以通过覆盖自己项目中pom.xml的版本号配置属性来修改该依赖的版本号。提升Log4J2到安全版本只需要:

  1.  
  2.     2.15.0 
  3.  

然后使用./mvnw dependency:list | grep log4j命令运行以检查版本是否为 2.15.0。

Gradle用户

对于大多数用户来说,设置log4j2.version属性就足够了:

  1. ext['log4j2.version'] = '2.15.0' 

如果你的Gradle并没有直接对Spring Boot进行依赖管理,你可以添加Log4J BOM依赖项:

  1. implementation(platform("org.apache.logging.log4j:log4j-bom:2.15.0")) 

“万金油”的方法是声明一个Gradle的resolutionStrategy:

  1. configurations.all { 
  2.  resolutionStrategy.eachDependency { DependencyResolveDetails details -> 
  3.   if (details.requested.group == 'org.apache.logging.log4j') { 
  4.    details.useVersion '2.15.0' 
  5.   } 
  6.  } 

上面三种方法无论你使用哪种,安全起见都需要使用下面的命令进行检查确认:

  1. /gradlew dependencyInsight --dependency log4j-core 

漏洞演示

漏洞攻击的演示代码,我将在周一通过公众号文章进行详细讲解,请持续关注。

来源:码农小胖哥内容投诉

免责声明:

① 本站未注明“稿件来源”的信息均来自网络整理。其文字、图片和音视频稿件的所属权归原作者所有。本站收集整理出于非商业性的教育和科研之目的,并不意味着本站赞同其观点或证实其内容的真实性。仅作为临时的测试数据,供内部测试之用。本站并未授权任何人以任何方式主动获取本站任何信息。

② 本站未注明“稿件来源”的临时测试数据将在测试完成后最终做删除处理。有问题或投稿请发送至: 邮箱/279061341@qq.com QQ/279061341

软考中级精品资料免费领

  • 历年真题答案解析
  • 备考技巧名师总结
  • 高频考点精准押题
  • 2024年上半年信息系统项目管理师第二批次真题及答案解析(完整版)

    难度     813人已做
    查看
  • 【考后总结】2024年5月26日信息系统项目管理师第2批次考情分析

    难度     354人已做
    查看
  • 【考后总结】2024年5月25日信息系统项目管理师第1批次考情分析

    难度     318人已做
    查看
  • 2024年上半年软考高项第一、二批次真题考点汇总(完整版)

    难度     435人已做
    查看
  • 2024年上半年系统架构设计师考试综合知识真题

    难度     224人已做
    查看

相关文章

发现更多好内容

猜你喜欢

AI推送时光机
位置:首页-资讯-后端开发
咦!没有更多了?去看看其它编程学习网 内容吧
首页课程
资料下载
问答资讯