log4j2漏洞風險臨時處理方案

log4j2漏洞

https://zhuanlan.zhihu.com/p/443575682

復現代碼

/**
 * @author xiaobai
 */
@RequestMapping("/test")
@RestController
@Slf4j
public class TestController {

    private static Logger getLoggerName() {
        return LoggerFactory.getLogger("userMetadataTo");
    }

    /**
     * testMsgSend
     *
     * @param user user
     * @return ResponseEntity
     */
    @PostMapping("/msg")
    public ResponseEntity testMsgSend(@RequestBody User user) {
        Logger logger = getLoggerName();
        logger.info(user.getUsername());
        return ResponseEntity.ok().build();

    }

}

風險代碼

沒有設置-Dlog4j2.formatMsgNoLookups時此處noLookups為false，因此可以進入該判斷

分析調用鏈，可以看到最終調用了JndiLookup.lookup執行ldap指令

臨時解決方案

設置-Dlog4j2.formatMsgNoLookups=true