标签：return 临时 formatMsgNoLookups 漏洞 user ResponseEntity Logger log4j2

log4j2漏洞

https://zhuanlan.zhihu.com/p/443575682

复现代码

/**
 * @author xiaobai
 */
@RequestMapping("/test")
@RestController
@Slf4j
public class TestController {

    private static Logger getLoggerName() {
        return LoggerFactory.getLogger("userMetadataTo");
    }

    /**
     * testMsgSend
     *
     * @param user user
     * @return ResponseEntity
     */
    @PostMapping("/msg")
    public ResponseEntity testMsgSend(@RequestBody User user) {
        Logger logger = getLoggerName();
        logger.info(user.getUsername());
        return ResponseEntity.ok().build();

    }

}

风险代码

没有设置-Dlog4j2.formatMsgNoLookups时此处noLookups为false，因此可以进入该判断

分析调用链，可以看到最终调用了JndiLookup.lookup执行ldap指令

临时解决方案

设置-Dlog4j2.formatMsgNoLookups=true

标签：return,临时,formatMsgNoLookups,漏洞,user,ResponseEntity,Logger,log4j2
来源： https://www.cnblogs.com/alinainai/p/15674463.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。