修復 Apache 風暴的 log4j 漏洞 (CVE-2021-44228)？

Question

apache風暴沒有不使用log4j 2.x版本（受CVE-2021-44228漏洞影響）的版本。

我在 log4j 網站上找到了這個修復：
you may remove the **JndiLookup** class from the classpath: zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

但我不確定這樣做是否會對我的 apache 風暴功能產生任何其他影響，如果風暴內部使用 JndiLookup class 會怎樣。

對於 log4j 漏洞 (CVE-2021-44228)，我可以對我的 storm 安裝 (storm 2.2.0) 應用什么修復？

Answer 1

最近在 2022 年 3 月發布的Storm 2.4.0 版本解決了您的顧慮。

或者，您可以使用 Java class 加載機制的原理手動修補它：

1. 以這種方式識別並下載官方補丁（及其依賴項）： https://mvnrepository.com/artifact/org.apache.logging.log4j

   為了方便，直接鏈接：

   • log4j-核心-2.17.2.jar
   • log4j-api-2.17.2.jar
   • log4j-slf4j-impl-2.17.2.jar

2. 替換apache-storm-2.2.0/lib中的庫：

    log4j-core-2.11.2.jar --> log4j-core-2.17.2.jar log4j-api-2.11.2.jar --> log4j-api-2.17.2.jar log4j-slf4j-impl-2.11.2.jar --> log4j-slf4j-impl-2.17.2.jar

3. 驗證升級是否成功：

   • 驗證是否正確生成了任何/所有日志文件
     • 驗證nimbus.log文件是否正確生成
     • 負面測試用例是刪除 3 個庫，並且不會生成nimbus.log
   • nimbus.log文件打印出 oassoazZooKeeper 中的 3 個更新庫oassoazZooKeeper [INFO] Client environment:java.class.path=