Log4j 2.16.0发布，受Log4j漏洞影响的Apache项目一览

今天的早些时候陷入CVE-2021-44228漏洞风波的Log4j发布了2.16.0版本。

2.16.0版本强化漏洞防御

在2.16.0版本版本中完全删除对Message Lookups的支持。目的是采取强化措施以防止 CVE-2021-44228,另外默认禁用 JNDI，需要 log4j2.enableJndi设置为 true 以允许 JNDI。 CVE-2021-44228漏洞已经在前些天发布的2.15.0版本得到了修复。2.16.0版本是强化对漏洞的封堵，强烈建议更新到2.16.0版本。

受漏洞影响的Apache项目

另外Apache 安全团队在今天公布了受log4j CVE-2021-44228影响的Apache项目。可以根据下面列表进行排查：

关于 Log4j1.2下的CVE-2021-4104

当攻击者对Log4j配置具有写访问权限时，Log4j1.2中的 JMSAppender容易受到不可信数据的反序列化。攻击者可以对TopicBindingName和TopicConnectionFactoryBindingName配置，将导致JMSAppender以类似CVE-2021-4422的方式执行JNDI请求，从而导致远程代码执行。

请注意，当专门使用JMSAppender时才会引发CVE-2021-4104，此问题仅出现在Log4j 1.2，而且这不是默认设置。