slf4j 是否受到 log4j 中的漏洞问题的影响

Question

我已经实现了 POC 并使用 slf4j 进行日志记录。log4j 中的零日漏洞问题是否也会影响 slf4j 日志？

Answer 1

取决于SLF4J的底层实现。log4j 1.x 对于 CVE-2021-44228 是安全的。因此，如果您的 SLF4J 提供程序/绑定是 slf4j-log4j12.jar，则 CVE-2021-44228 是安全的。

如果您将 log4j-over-slf4j.jar 与 SLF4J API 结合使用，那么除非底层实现是 log4j 2.x，否则您是安全的。

检查这个 - http://slf4j.org/log4shell.html

Answer 2

这取决于。Slf4j 只是一个 api，可以在其任何实现后面使用，而 log4j 只是其中之一。检查后面使用的是哪一个，如果是 log4j 并且版本在 2.0.0 和 2.15.0 之间（2.15.0 是已修复的版本，版本 1.x 不受影响），则应该更新它（如果直接或间接暴露给用户）