1214 最新!Log4j 再发版，彻底斩断核弹级漏洞，又要熬夜了
yuyutoo 2024-10-16 15:41 9 浏览 0 评论
背景
这几天为了应对《Apache Log4j2 报核弹级漏洞》，Log4j2 连续发布了两个 RC（Release Candidate）候选版本，1 个正式版本。
在第一次的 RC1 候选版本中，Log4j2 还存在漏洞绕过风险，官方随后又发布了 RC2，后面就发布了 Log4j 2.15.0 正式版本，可用于生产环境，正式解决了核弹极漏洞。
今天栈长打开公众号Java技术栈，又有粉丝留言说，2.16.0 发布了！！
栈长前往一看：
我天！Log4j 又在搞什么鬼？这又发了 3 个版本？？
2 个候选版本，1 个正式版本：2.16.0
是的，又一个正式版本 Log4j 2.16.0 发布了，可用于生产环境。。
下面来看下 2.15.0 - 2.16.0 两个版本都修复了啥内容。
解决漏洞：CVE-2021-44228
漏洞原因：
Log4j2 中提供了Lookups 机制，用于添加一些特殊值到日志中，在 Lookups 机制中，由于 JNDI 功能没有对名称解析做限制，而某些协议是不安全的，可以允许远程代码执行，从而导致核弹级漏洞。
2.15.0 修复内容：
1、Log4j 2.15.0+ 现在默认将协议限制为仅 java、ldap 和 ldaps，并将 ldap 协议做访问限制了，默认仅允许访问本地服务器上的 Java 原始对象。
2、Log4j 2.15.0+ 现在默认禁用 Lookups 功能，虽然 Log4j 2.x 没有完全废除这项功能，但强烈建议大家不要启用它。
2.16.0 修复内容：
1、默认禁用 JNDI 功能。
2、移除消息的 Lookups 功能。
总结
2.15.0 只是对危险功能做了限制和默认禁用，2.16.0 就狠了，干脆直接干掉了。
2.16.0 这次更新也是很有必要的，直接斩草除根，将未知风险扼杀在摇篮里，这也是为了防止用户不小心开启，因为漏洞过去，大家就会疏于防范，在不注意的情况下又会造成漏洞。
果然是核弹级漏洞，大大小小版本搞了好些个了。。这次应该是最后一次的修复版本了吧？大家有没有被折腾过多次的？所以，如果有必要，你可能还要再折腾一次。。。
如何下载、升级、修复，以及 Spring Boot 应对方案，可参考栈长之前分享的文章：
最新！Log4j 2.x 再发版，正式解决核弹级漏洞，又要熬夜了。。。
https://www.javastack.cn/article/2021/apache-log4j-2.15.0-released/
Apache Log4j 爆核弹级漏洞，Spring Boot 默认日志框架就能完美躲过！！
https://www.javastack.cn/article/2021/apache-log4j2-spring-boot-default-no/
突发！Apache Log4j2 报核弹级漏洞。。赶紧修复！！
https://www.javastack.cn/article/2021/apache-log4j2-bug-20211210/
如果你想关注和学习最新、最主流的 Java 技术，可以持续关注Java技术栈，第一时间推送。
版权声明： 本文系公众号 "Java技术栈" 原创，原创实属不易，转载、引用本文内容请注明出处，抄袭者一律举报＋投诉，并保留追究其法律责任的权利。
相关推荐
- 墨尔本一华裔男子与亚裔男子分别失踪数日 警方寻人
-
中新网5月15日电据澳洲新快网报道，据澳大利亚维州警察局网站消息，22岁的华裔男子邓跃(Yue‘Peter’Deng，音译)失踪已6天，维州警方于当地时间13日发布寻人通告，寻求公众协助寻找邓跃。华...
- 网络交友须谨慎!美国犹他州一男子因涉嫌杀害女网友被捕
-
伊森·洪克斯克（图源网络，侵删）据美国广播公司（ABC）25日报道，美国犹他州一名男子于24日因涉嫌谋杀被捕。警方表示，这名男子主动告知警局，称其杀害了一名在网络交友软件上认识的25岁女子。雷顿警...
- 一课译词:来龙去脉（来龙去脉 的意思解释）
-
Mountainranges[Photo/SIPA]“来龙去脉”，汉语成语，本指山脉的走势和去向，现比喻一件事的前因后果（causeandeffectofanevent），可以翻译为“i...
- 高考重要考点:range（range高考用法）
-
range可以用作动词，也可以用作名词，含义特别多，在阅读理解中出现的频率很高，还经常作为完形填空的选项，而且在作文中使用是非常好的高级词汇。...
- C++20 Ranges:现代范围操作（现代c++白皮书）
-
1.引言：C++20Ranges库简介C++20引入的Ranges库是C++标准库的重要更新，旨在提供更现代化、表达力更强的方式来处理数据序列（范围，range）。Ranges库基于...
- 学习VBA，报表做到飞 第二章 数组 2.4 Filter函数
-
第二章数组2.4Filter函数Filter函数功能与autofilter函数类似，它对一个一维数组进行筛选，返回一个从0开始的数组。...
- VBA学习笔记:数组:数组相关函数—Split，Join
-
Split拆分字符串函数，语法Split（expression，字符，Limit，compare），第1参数为必写，后面3个参数都是可选项。Expression为需要拆分的数据，“字符”就是以哪个字...
- VBA如何自定义序列，学会这些方法，让你工作更轻松
-
No.1在Excel中，自定义序列是一种快速填表机制，如何有效地利用这个方法，可以大大增加工作效率。通常在操作工作表的时候，可能会输入一些很有序的序列，如果一一录入就显得十分笨拙。Excel给出了一种...
- Excel VBA入门教程1.3 数组基础（vba数组详解）
-
1.3数组使用数组和对象时，也要声明，这里说下数组的声明：'确定范围的数组，可以存储b-a+1个数，a、b为整数Dim数组名称(aTob)As数据类型Dimarr...
- 远程网络调试工具百宝箱-MobaXterm
-
MobaXterm是一个功能强大的远程网络工具百宝箱，它将所有重要的远程网络工具（SSH、Telnet、X11、RDP、VNC、FTP、MOSH、Serial等）和Unix命令（bash、ls、cat...
- AREX:携程新一代自动化回归测试工具的设计与实现
-
一、背景随着携程机票BU业务规模的不断提高，业务系统日趋复杂，各种问题和挑战也随之而来。对于研发测试团队，面临着各种效能困境，包括业务复杂度高、数据构造工作量大、回归测试全量回归、沟通成本高、测试用例...
- Windows、Android、IOS、Web自动化工具选择策略
-
Windows平台中应用UI自动化测试解决方案AutoIT是开源工具，该工具识别windows的标准控件效果不错，但是当它遇到应用中非标准控件定义的UI元素时往往就无能为力了，这个时候选择silkte...
- python自动化工具:pywinauto（python快速上手 自动化）
-
简介Pywinauto是完全由Python构建的一个模块，可以用于自动化Windows上的GUI应用程序。同时，它支持鼠标、键盘操作，在元素控件树较复杂的界面，可以辅助我们完成自动化操作。我在...
- 时下最火的 Airtest 如何测试手机 APP?
-
引言Airtest是网易出品的一款基于图像识别的自动化测试工具，主要应用在手机APP和游戏的测试。一旦使用了这个工具进行APP的自动化，你就会发现自动化测试原来是如此简单！！连接手机要进行...
- 【推荐】7个最强Appium替代工具，移动App自动化测试必备!
-
在移动应用开发日益火爆的今天，自动化测试成为了确保应用质量和用户体验的关键环节。Appium作为一款广泛应用的移动应用自动化测试工具，为测试人员所熟知。然而，在不同的测试场景和需求下，还有许多其他优...
欢迎 你 发表评论:
- 一周热门
- 最近发表
- 标签列表
-
- mybatis plus (70)
- scheduledtask (71)
- css滚动条 (60)
- java学生成绩管理系统 (59)
- 结构体数组 (69)
- databasemetadata (64)
- javastatic (68)
- jsp实用教程 (53)
- fontawesome (57)
- widget开发 (57)
- vb net教程 (62)
- hibernate 教程 (63)
- case语句 (57)
- svn连接 (74)
- directoryindex (69)
- session timeout (58)
- textbox换行 (67)
- extension_dir (64)
- linearlayout (58)
- vba高级教程 (75)
- iframe用法 (58)
- sqlparameter (59)
- trim函数 (59)
- flex布局 (63)
- contextloaderlistener (56)