1
orangie 2021-12-12 17:54:18 +08:00
这个漏洞显然是由于输入引起的,你改输出肯定是不能避免漏洞被触发的。如果关闭日志的方法是从整个程序中移除 log4j 倒是可以。
|
2
plko345 2021-12-12 17:55:27 +08:00 via Android
可是日志还是要的吧,不然遇到问题怎么找,还有如果是内网是不是就没那么大风险,还是说日志可能通过传递进内网中间件触发漏洞
|
3
iseki 2021-12-12 17:57:20 +08:00
你把那个禁止解析的参数加上就行吧。重定向到 null 肯定不起作用的
|
4
zhady009 2021-12-12 17:57:23 +08:00
关闭日志的话把日志等级改成 off 就行
|
5
hallDrawnel 2021-12-12 18:14:44 +08:00
设置 log 文件夹为 /dev/null 不能,log4j 依然被调用。
|
8
NoirStrike 2021-12-12 19:24:05 +08:00
es 还暴露在公网?
|
9
moqimoqide 2021-12-12 23:25:03 +08:00 via iPhone 1
|
10
leiuu 2021-12-13 10:45:43 +08:00
ES 的版本是什么,最新的版本自带 jdk 。可能没这个问题。
低版本的 ES 参考: https://nosec.org/home/detail/4917.html 。 增加 jvm 参数,比较简单一些。 |