logback是否也受到spring boot中Log4j 0天漏洞问题的影响？

Question

据我所知，logback也是由相同的作者编写的。我们的应用程序正在使用logback。是否有可能logback也会受到log4j中漏洞的影响？这对我们的组织至关重要。

Answer 1

不，它不会影响
，但您至少可以调整您的pom文件以使用最新版本2.15.0

Answer 2

Spring Boot用户只有在将默认日志系统切换到Log4J2时才会受到此漏洞的影响。我们在spring boot starter日志记录中包含的log4j-to-slf4j和log4j-apijar不能单独利用。只有使用log4j core并在日志消息中包含用户输入的应用程序才易受攻击。

来源

有用的解释要点：

log4j-to-slf4j是log4jAPI和slf4j之间的适配器。它确实带来了log4j api，但没有带来log4j核心，因此我们的初学者不受此漏洞的影响。