log4j漏洞-如果log4j在类路径中维护，但实际上没有在代码中使用，那么它仍然容易受到攻击吗？

Question

这是关于CVE-2021-44228针对log4j核心jar报告的漏洞，并已在Log4J v2.15.0中修复。

我们通过slf4j使用Logback API。下面的代码证实了这一点。

final StaticLoggerBinder binder = StaticLoggerBinder.getSingleton();
System.out.println(binder.getLoggerFactory());
System.out.println(binder.getLoggerFactoryClassStr());
//output:
//ch.qos.logback.classic.LoggerContext[default]
//ch.qos.logback.classic.util.ContextSelectorStaticBinder

mvn依赖关系：树显示log4j核心API（版本

由于在类路径中维护log4j内核，应用程序是否仍然易受攻击？非常感谢。

Answer 1

为了使漏洞对您构成风险，需要将几件事结合在一起：

1. 您的环境中存在相应的库

这里没有人能告诉你“2”和“3”是否适用于你的环境。

但是：当你消除1时。，你知道“2”和"3"现在已经不可能了。或者反过来说，只要您100%确信用户无法通过任何途径将数据输入到您的系统中，并将其发送到相应的API，那么即使将库留在您的环境中，您也应该可以。但正如所说，拥有图书馆是这条链条的第一要素。因此，当这一点存在时，有可能明天有人编写代码，让您到达“2”和“3”！

因此，请记住更高管理层的观点：最可能的情况是，业务决策可能是：将风险降低到0，因此确保您的机器上甚至没有相应的JAR。

_{在我的bigcorp环境中，订单非常简单：不要浪费任何时间分析你的代码是否使用相应的接口。当您的项目包含易受攻击的JAR时，请立即升级它。期间。}