2021.12.15 log4j2漏洞解决(SpringBoot,SpringCloud,SpringCloud Alibaba)

• 1. 简单复现
• 2. 简单自查
• • • 2.1.查看maven仓库（IntelliJ IDEA -> setting -> maven）
    • 2.2. 查找log4j2依赖版本
    • 2.3. 注意事项
• 3. 如何解决

maven依赖

     
        
            org.projectlombok
            lombok
            1.18.12
        

        
        
            org.springframework.boot
            spring-boot-starter-log4j2
            2.2.5.RELEASE
        

        

测试

//@Slf4j 复现方式1
public class Test {

    //复现方式2
    //static Logger log = LogManager.getLogger(LogManager.ROOT_LOGGER_NAME);

    public static void main(String... args) {
        log.error("${java:os}");
        //日志打印出： Windows 10 10.0, architecture: amd64-64
    }

}

我的仓库在：D:/apache-maven-3.6.3

打开对应文件夹：D:apache-maven-3.6.3repositoryorgapachelogginglog4jlog4j-api

引入了spring-boot-starter或者spring-boot-starter-web，默认的日志是logback。即使没有修改默认框架为log4j2， 仍需提高log4j2的版本（也要注意其他jar包依赖）。

用最简单的方法指定log4j2版本（高于2.16.0版本是安全的版本），清空D:apache-maven-3.6.3repositoryorgapachelogging文件夹，
重新下载依赖，发现log4j2版本已变成2.16.0，至此问题已解决。或者使用IntelliJ IDEA查看依赖信息

    
  		
            org.apache.logging.log4j
            log4j-api
            
        
        
            org.apache.logging.log4j
            log4j-core
            
        

    
    
        
            
            
                org.apache.logging.log4j
                log4j-to-slf4j
                2.16.0
            
            
                org.apache.logging.log4j
                log4j-api
                2.16.0
            
            
                org.apache.logging.log4j
                log4j-core
                2.16.0