當我們使用它進行測試時，我們應該對 Log4j 漏洞做些什么嗎？（TestNg 框架）

Question

我們使用 TestNG 框架和 Log4j 來准備端到端測試。 我們應該采取一些行動嗎？

Answer 1

僅僅因為漏洞僅存在於您的測試依賴項中，並不意味着您可以忽略它。

但是，您應該完全控制您的輸入，這也應該涵蓋所有可能的日志消息。 因此，您可以假設外部沒有人可以輕松利用此漏洞。 因此，如果不打算將注入字符串添加到您的測試數據中，您應該沒問題。
我建議無論如何都要更新，因為你永遠不知道它是否可以以某種方式在漏洞利用鏈中使用（未來的另一個漏洞利用可能會重寫你的輸入，並且最終會出現在日志中）。 但它的優先級低於修復任何公共可用服務器。

log2j 版本 2.15.0 包含該修復程序。