JAVA formatMsgNoLookups 選項 (CVE-2021-44228)

Question

當我跑

$ java -XX:+UnlockDiagnosticVMOptions -XX:+PrintFlagsFinal -version | grep -i formatMsgNoLookups

我在 output 中沒有得到 formatMsgNoLookups 選項。 這是否意味着我不容易受到 CVE-2021-44228 的攻擊？

Answer 1

你把事情混為一談。 log4j2.formatMsgNoLookups是一個由 log4j2 日志庫獲取的系統屬性。 它不是 JVM 標志，不會由-XX:+PrintFlagsFinal打印。 如果啟用，則 log4j2 不會從格式消息中執行查找，從而通過禁用此攻擊向量來緩解漏洞。

只有在 Java 應用程序中實際使用 log4j2 時，您才會容易受到 CVE-2021-44228 的攻擊。 讓我重復一遍：您的應用程序是易受攻擊的，而不是 Java 或 JVM 本身。 在同一個 JVM 上，一個應用程序可能易受攻擊，而另一個應用程序則不然。

（如果是的話，沒有它反而表明相反：你很脆弱）