别问别人为什么，多问自己凭什么！
下方有惊喜留言必回，有问必答！
最近的 Log4j 2 漏洞想必大家都知道了，不知道的可以看看这篇文章回忆一下突发！Log4j 再爆“史诗级”漏洞，Kafka、Elasticsearch等均受影响，速查！修复！，11月9日晚开源项目 Apache Log4j 2 的一个远程代码执行漏洞的利用细节被公开，随着Apache Log4j 2.15.0正式版发布，该漏洞已得到解决。
然而，安全公司 Praetorian在博客宣布，他们在Apache Log4j 2.15.0版本又发现了一个远程数据泄露的漏洞，可用于从受影响的服务器下载数据。
Praetorian 表示，他们已将该问题的技术细节传递给Apache基金会，但在此期间，Praetorian建议用户尽快升级到2.16.0。Praetorian将实行负责任的披露，因此目前不会公开分享技术细节，以免出现更大的问题。1）LOG4J2-3208：默认禁用JNDI。需要设置为以允许JNDI。LOG4J2-3211：完全删除对消息查找的支持。2）Apache Log4j 2.16.0至少需要Java 8才能构建和运行。Log4j 2.12.1是最后一个支持Java 7的版本。Java 7不是Log4j 团队的长期支持版本。万万没想到Log4j 2.16.0又爆雷，存在DOC攻击漏洞本来以为经过上周的2.16.0版本升级，Log4j 2的漏洞修复工作，此事基本上都要告一段落了。真是没想到在上周，Log4j官方又发布了新版本2.17.0。Maven仓库最新的Apache Log4j 2 2.17.0 版本，标记出了历史版本中包含的漏洞数量及漏洞详情：https://mvnrepository.com/artifact/org.apache.logging.log4j/log4j-core
该版本主要修复安全漏洞：CVE-2021-45105
影响版本：2.0-alpha1至2.16.0（1.x用户继续忽略）该漏洞只有当日志配置使用带有Context Lookups的非默认Pattern Layout，例如$${ctx:loginId}时，攻击者可以通过构造包含递归查找的恶意输入数据，触发无限循环，导致StackOverflowError，最终进程崩溃。注意此次漏洞受影响的只有log4j-core，仅使用log4j-api的程序不需要担心。所以，大家可以通过升级log4j-core来修复该漏洞。<dependency>
<groupId>org.apache.logging.log4j</groupId>
<artifactId>log4j-core</artifactId>
<version>2.17.0</version>
</dependency>如果公司目前要求不能升级版本的话，可以采用以下两种方法临时来解决漏洞：方式一：在日志配置的PatternLayout中，用%X、%mdc或%MDC来替换${ctx:loginId}或$${ctx:loginId}等Context Lookups。方式二：在使用外部数据HTTP Header或用户输入等的位置，删除对Context Lookups的引用，例如${ctx:loginId} 或$${ctx:loginId}。众号“Java精选”所发表内容注明来源的，版权归原出处所有（无法查证版权的或者未注明出处的均来自网络，系转载，转载的目的在于传递更多信息，版权属于原作者。如有侵权，请联系，笔者会第一时间删除处理！
精品资料，超赞福利！
3000+ 道 BAT 大厂面试题在线刷，最新、最全 Java 面试题！
☆ Java进阶学习资料
☆ Java自学、进阶路线图免费领
技术交流群！
最近有很多人问，有没有读者&异性交流群，你懂的！想知道如何加入。加入方式很简单，有兴趣的同学，只需要点击下方卡片，回复“加群”，即可免费加入交流群！