JAVA formatMsgNoLookups 选项 (CVE-2021-44228)

Question

当我跑

$ java -XX:+UnlockDiagnosticVMOptions -XX:+PrintFlagsFinal -version | grep -i formatMsgNoLookups

我在 output 中没有得到 formatMsgNoLookups 选项。 这是否意味着我不容易受到 CVE-2021-44228 的攻击？

Answer 1

你把事情混为一谈。 log4j2.formatMsgNoLookups是一个由 log4j2 日志库获取的系统属性。 它不是 JVM 标志，不会由-XX:+PrintFlagsFinal打印。 如果启用，则 log4j2 不会从格式消息中执行查找，从而通过禁用此攻击向量来缓解漏洞。

只有在 Java 应用程序中实际使用 log4j2 时，您才会容易受到 CVE-2021-44228 的攻击。 让我重复一遍：您的应用程序是易受攻击的，而不是 Java 或 JVM 本身。 在同一个 JVM 上，一个应用程序可能易受攻击，而另一个应用程序则不然。

（如果是的话，没有它反而表明相反：你很脆弱）