如何在 JVM 中設置 Dlog4j2.formatMsgNoLookups=true？

Question

在我的一台計算機中，有 Jre1.8.0_45，而在另一台計算機中有 OpenJDK。

我想設置 JVM 標志Dlog4j2.formatMsgNoLookups=true但我不知道在哪里寫這個配置。

有人可以指導我嗎？

Answer 1

如果可能，升級到 Log4J 版本 2.15.0。

如果無法升級，請確保設置了 -Dlog4j2.formatMsgNoLookups=true 系統屬性。 使用以下命令。

java -Dlog4j2.formatMsgNoLookups=true -jar myapp.jar

也值得一讀緩解

https://spring.io/blog/2021/12/10/log4j2-vulnerability-and-spring-boot https://blog.cloudflare.com/inside-the-log4j2-vulnerability-cve-2021-

Answer 2

如果可能，升級到 Log4j 版本 2.15.0。

Log4j 2.10及以上

如果無法升級，請確保使用以下命令設置-Dlog4j2.formatMsgNoLookups=true系統屬性。

java -Dlog4j2.formatMsgNoLookups=true -jar myapp.jar

通過屬性禁用查找已通過LOG4J2-2109實現，並且自Log4j 2.10起可用。

Log4j 2.10以下

從類路徑中刪除 JndiLookup class。 例如，您可以運行如下命令從 log4j-core 中刪除 class。 對於在 jar 文件中包含 log4j 的每個應用程序，都需要執行此操作。

zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

也值得一讀緩解

https://blog.cloudflare.com/inside-the-log4j2-vulnerability-cve-2021-44228/ https://spring.io/blog/2021/12/10/log4j2-vulnerability-and--log4j2-vulnerability-

Answer 3

我建議經常查看官方網站，因為今天發布了2.16.0 版本

https://logging.apache.org/log4j/2.x/security.html