支持Logback v1.2.10的Gradle版本

Question

在上个月发生log4j shell问题之前，我使用的是“org”。springframework。启动：spring启动程序日志记录：1.5.22。版本”，其内部依赖于ch.qos。logback：logback classic：1.1.11和ch.qos。回写：回写核心：分别为1.1.11个JAR。

在发生log4j shell问题之后，我将两个jar升级到ch.qos版本。logback：logback classic：1.2.3和ch.qos。logback：logback核心：1.2.3，gradle v3.5运行良好。现在，当我尝试将JAR升级到logback classic:1.2.10和logback core:1.2.10时，这会阻止我运行应用程序，并说明以下错误：

<代码>组织。格拉德尔。工具。BuildException：无法使用Gradle发行版'https://services.gradle.org/distributions/gradle-3.5-all.zip'.

我是否需要升级到Grails或Gradle 3.5的更高版本？我是否需要升级到Grails或Gradle 3.5的更高版本。欢迎任何提示或指导。

Answer 1

从https://logback.qos.ch/news.html

我们注意到CVE-2021-42550中提到的漏洞需要对logback的配置文件进行写访问作为先决条件。请理解log4Shell和CVE-2021-42550的严重程度不同。为了响应CVE-2021-42550（又名LOGBACK-1591），我们决定采取以下步骤。1）强化logback的JNDI查找机制，仅尊重java：命名空间中的请求。所有其他类型的请求都被忽略。非常感谢Michael Osipov建议进行此更改并提供relvant PR。2）SMTPAppender被强化。3）出于安全原因暂时删除了DB支持。4）删除了Groovy配置支持。由于日志记录非常普遍，并且使用Groovy进行配置可能过于强大，因此出于安全原因，此功能不太可能恢复。我们注意到，上述漏洞需要对logback的配置文件进行写访问作为先决条件。请理解log4Shell/CVE-2021-44228和CVE-2021-42550的严重程度不同。使用CVE-2021-42550进行成功的RCE攻击需要满足以下所有条件：对版本使用logback.xml写访问

目前不支持grails，因此目前不支持v1.2.9以后的logback。