Log4j CVE-2021-44228 会影响哪个版本的 Kafka？

Question

哪些版本的 Kafka 受到CVE-2021-44228的影响？

关于此漏洞的Apache Kafka 安全漏洞尚未更新。

Answer 1

更新2021-12-15

APACHE KAFKA 安全漏洞已确认：

1. CVE-2021-45046

用户不应受到此漏洞的影响

2. CVE-2021-44228

用户不应受到此漏洞的影响

3. CVE-2021-4104

Log4J 1.x 版本可以配置为使用 JMS Appender，它将日志事件发布到 JMS 主题。如果部署的应用程序配置为使用 JMSAppender，则 Log4j 1.x 容易受到攻击。

因此，请检查该网站以了解详细信息。

更新2021-12-13

根据bovine的建议，log4j1.x也可能受到此漏洞的影响。

严格来说，如果使用 Log4j 1.x 的应用程序的配置使用 JNDI，则可能会受到影响。然而，风险要低得多。

请参阅此链接了解最新状态。

不使用 log4j2 的证据

通过检查dependencies.gradleKafka：
1.0.0 和3.0.0 都使用1.2.17。
由于该问题影响的是 2.0-beta9 到 2.14.1版本，Kafka 不受此安全漏洞的影响。