当我们使用它进行测试时，我们应该对 Log4j 漏洞做些什么吗？（TestNg 框架）

Question

我们使用 TestNG 框架和 Log4j 来准备端到端测试。 我们应该采取一些行动吗？

Answer 1

仅仅因为漏洞仅存在于您的测试依赖项中，并不意味着您可以忽略它。

但是，您应该完全控制您的输入，这也应该涵盖所有可能的日志消息。 因此，您可以假设外部没有人可以轻松利用此漏洞。 因此，如果不打算将注入字符串添加到您的测试数据中，您应该没问题。
我建议无论如何都要更新，因为你永远不知道它是否可以以某种方式在漏洞利用链中使用（未来的另一个漏洞利用可能会重写你的输入，并且最终会出现在日志中）。 但它的优先级低于修复任何公共可用服务器。

log2j 版本 2.15.0 包含该修复程序。