SpringBoot及SpringCloud解决Apache Log4j任意代码执行漏洞方法，附临时紧急处理方法5选1(所有JAVA程序均可)【完全清理解决三方

irpas 02-07 1662

一、说明：本方法主要用于配置修改，完全清理spring boot已经去除了spring-boot-starter-log4j2并切换使用logback，打包依然发现存在log4j相关包存在的解决办法。

现阶段不建议修改log4j2版本号，首先官方目前2个修复版本均发现可以绕过，尚无稳定版本，并且各组件还是需要考虑可能兼容等问题。（更新：可以参考临时方法5直接更新版本号）**

二、背景就不多讲了，附临时修改方法（5选1）：

（1）. jvm参数 -Dlog4j2.formatMsgNoLookups=true （2）. log4j2.formatMsgNoLookups=True （3）.系统环境变量 FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS 设置为true

echo FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS=true >> /etc/profile source /etc/profile echo $FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS log4j2的版本2.10 到 2.14.1 ： echo LOG4J_FORMAT_MSG_NO_LOOKUPS=true >> /etc/profile source /etc/profile echo $LOG4J_FORMAT_MSG_NO_LOOKUPS

（4）.上waf （5）.直接修改pom引用版本号（打包运行正常即可），多模块放至最外层pom即可

JDK7升级至2.12.2，>=JDK8升级至2.17.0 <properties> <log4j2.version>2.17.0</log4j2.version> </properties>

建议：所有系统先都加环境变量临时紧急修复，再选择升级logj2版本或去除log4j2引用

三、配置修改方法：直接正题…(当然，也可以直接看最后结论) 1、非spring boot项目可以直接修改版本号解决。 2、spring boot 内置默认配置了log4j2的版本号，修改log4j2版本号的方法直接不就不建议操作了，首先官方目前2个修复版本均发现可以绕过，尚无稳定版本，并且各组件还是需要考虑可能兼容等问题。（更新：可以参考临时方法5直接更新版本号） 3、不要觉得spring boot默认使用了logback就万事大吉。先看看有多少组件使用了log4j https://mvnrepository.com/artifact/org.apache.logging.log4j/log4j-core/usages?p=1

可以看到常用的jedis，mybatis,druid基本都在用。

但是不要怕，阅读官方文档我们可以得知，他们都是按序加载日志组件的，如果都没有才会导致无日志或者可能异常。基本上加载列表都是这些： log4j 、log4j2 、 slf4j 、 commons-logging 、 jdklogging

4、所以我们只需要不配置spring-boot-starter-log4j2 使用spring boot 默认的logback即可。代码中使用lombok的@Slf4j 输出日志即可。

5、但是。。。。打包spring boot 的jar程序，解压后会发现包里面居然还有log4j相关的api包log4j-api-2.x、log4j-to-slf4j、log4j-core（路径：\BOOT-INF\lib)

6、结论：为了保险起见我们需要屏蔽log4j的相关依赖（建议先用临时方法紧急处理，再执行根本处理）（1）、取消项目中使用spring-boot-starter-log4j2配置。（2）、使用spring boot 默认的logback日志组件，无需单独引用。（3）、代码中使用@Slf4j 输出日志（4）、保险起见：屏蔽log4j2的其他组件引用。

<dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter</artifactId> <exclusions> <exclusion> <groupId>org.apache.logging.log4j</groupId> <artifactId>log4j-api</artifactId> </exclusion> <exclusion> <groupId>org.apache.logging.log4j</groupId> <artifactId>log4j-core</artifactId> </exclusion> <exclusion> <groupId>org.apache.logging.log4j</groupId> <artifactId>log4j-to-slf4j</artifactId> </exclusion> </exclusions> </dependency>

SpringCloud直接最外层pom排除即可

<build> <plugins> <plugin> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-maven-plugin</artifactId> <configuration> <excludes> <exclude> <groupId>org.apache.logging.log4j</groupId> <artifactId>log4j-api</artifactId> </exclude> <exclude> <groupId>org.apache.logging.log4j</groupId> <artifactId>log4j-core</artifactId> </exclude> <exclude> <groupId>org.apache.logging.log4j</groupId> <artifactId>log4j-to-slf4j</artifactId> </exclude> </excludes> </configuration> </plugin> </plugins> </build>

（5）、重新打包，运行日志输出正常，部署完成。

PS：这个是目前代码方法之一，建议先临时上紧急方法，然后评估成本修改代码方法。修改后，再观望官方推荐方法，毕竟目前还没有一个稳定的修复版本，最后应该会有一个比较达成共识的最终方法。