apache - 由于新的 Log4j 漏洞，Apache HTTP Server 可以允许反向脱壳吗？

Question

我在 Centos 8 机器上安装了一个 Apache HTTP 服务器，我想知道它是否使用 Log4j 库，因为发现的新漏洞会危害网络上的许多服务器。如果是这样，解决的程序是什么？根据我的分析，我可以从存储库 (svn.apache.org/repos/asf/httpd/httpd/) 中看到使用的语言是 C、XML，所以我想它不使用 Log4j 来跟踪日志，而是转换那些与有源模块有关。
谢谢你。

Answer 1

不，Apache httpd和 Apache log4j除了都由 Apache 基金会发布之外，没有任何共同点。

Apache log4j由用 Java 编写的软件使用。

Apache httpd是 不是 用Java编写。

Apache httpd 不是 使用 Apache log4j。

Apache httpd是 不是 受 CVE-2021-44228 约束。

请注意， Apache httpd实例可以用作使用 Java 和 log4j 的 http 服务器前面的反向代理，但这就像说路由器易受攻击，因为它后面有一个服务器。
您还可以在使用 log4j 的机器上运行其他软件，但不会是 Apache httpd直接地。
周围有很多困惑，因为很多人调用 Apache httpd只是 Apache (出于历史原因)，但 Apache是发布 Apache httpd的基金会和 Apache log4j (以及许多其他项目)。