Log4j 2.x 再爆雷
最近沸沸扬扬的 Log4j2 漏洞门事件炒得热火朝天，历经多次版本升级。。。
最新的版本为 Log4j 2.16.0，很多人以为 Log4j 2.16.0 只是默认禁用 JNDI 功能和移除消息的 Lookups 功能，只要自己不乱用升不升都无所谓，觉得这个版本不是必须的，以为只升级到 2.15.0 就万事大吉了，非也！
栈长又看到了最新 Log4j 核弹级漏洞动态：
关于 Log4j 2.x，现在强烈建议大家升级到 2.16.0 ！！！
因为，2.15.0 虽然解决了最严重的核弹级漏洞，但 2.15.0 的修复不完整，还存在允许攻击者执行拒绝服务攻击（DoS）漏洞，这个已经在最新的 2.16.0 中进行修复了。
2.15.0 虽然修复了一个核弹级漏洞，官方又新发现出来一个 DoS 攻击漏洞，貌似是新改出来的。。还在用 2.15.0 的赶紧升级吧，目前为止，2.16.0 才是最安全的版本！！
Java 7 对应的最新是 Log4j 2.12.2 版本。
如果你想关注和学习最新、最主流的 Java 技术，可以持续关注公众号Java技术栈，公众号第一时间推送。
受影响项目
如果你觉得只有 Apache Log4j 2.x 受影响，那就大错特错了，最近这两天，Apache 安全团队又公布了最新受影响的 Apache 项目，栈长做了一翻梳理：
| 序号 | 受影响项目 | 解决版本 |
| 1 | Apache Archiva | 2.2.6 |
| 2 | Apache Calcite Avatica | 1.20.0 |
| 3 | Apache Druid | 0.22.1 |
| 4 | Apache EventMesh | |
| 5 | Apache Flink | |
| 6 | Apache Fortress | 2.0.7 |
| 7 | Apache Geode | 1.12.6, 1.13.5, 1.14.1 |
| 8 | Apache Hive | |
| 9 | Apache Jena | 4.3.1 |
| 10 | Apache JMeter | |
| 11 | Apache JSPWiki | |
| 12 | Apache Log4J 2.x | 2.16.0 |
| 13 | Apache OFBiz | 18.12.03 |
| 14 | Apache Ozone | 1.2.1 |
| 15 | Apache SkyWalking | 8.9.1 |
| 16 | Apache Solr | 8.11.1 |
| 17 | Apache Struts | |
| 18 | Apache TrafficControl | |
居然有 18 个 Apache 项目受影响，大家伙看下，你们公司用了哪几个项目，赶紧修复！
总结
栈长稍微总结下:
1、Log4j 2.15.0 并不是最安全的最终版本，还存在 DoS 攻击漏洞，建议升级到 2.16.0；
2、Log4j 2.x 并不是特例，Apache 总共有 18 个项目中招，请自行检查修复；
果然是核弹级漏洞，大大小小版本搞了好些个了。。
这次应该是最后一次的修复版本了，大家有没有被折腾过多次的？
还在 2.15.0 版本的，大家伙再折腾一次吧。。。如果是内网项目，可以考虑无视！
如何下载、升级、修复，以及 Spring Boot 应对方案，可参考栈长之前分享的文章：
如果你想关注和学习最新、最主流的 Java 技术，可以持续关注公众号Java技术栈，公众号第一时间推送。
好了，今天的分享就到这里了，后面栈长还会持续跟进，我也将主流 Java 面试题和参考答案都整理好了，在公众号后台回复关键字 “面试” 进行刷题。
声明：本站所有文章，如无特殊说明或标注，均为本站原创发布。任何个人或组织，在未征得本站同意时，禁止复制、盗用、采集、发布本站内容到任何网站、书籍等各类媒体平台。如若本站内容侵犯了原著者的合法权益，可联系我们进行处理。
