java - 如何从我们的代码库和基础镜像中快速检测和删除 log4j 类？ "mvn dependency:tree"不检查基础镜像

Question

我们正在构建一个基于 Red Hat JBoss AMQ 6 的应用程序。我们将一些 Java 代码封装在基本镜像周围，以提供 AMQ 6 中缺少的额外功能。

现在，当Log4j的CVE中风时，我们发现这个组件存在漏洞，因为它使用了log4j 1.x。现在我不只是说我们的 Java 代码使用它，而且 Red Hat AMQ 6 的基础镜像也使用它。由于 AMQ 6 现已停产，Red Hat 不再提供支持，因此不会有带有修复的官方版本。

那么，我如何从以下位置删除易受攻击的 log4j 1.x 类:

• 我的 Java 代码
• 基础图片

?

我正在使用 jib maven 插件构建。

mvn dependency:tree 似乎只提供有关我们的 Java 包装器代码的信息，而不是有关基本图像的信息。而且我不明白“+”和“-”是什么意思，而它给出这样的输出:

[INFO] +- org.jboss.resteasy:resteasy-jaxrs:jar:3.7.0.Final:compile
[INFO] |  +- org.jboss.spec.javax.ws.rs:jboss-jaxrs-api_2.1_spec:jar:1.0.2.Final:compile
[INFO] |  +- org.jboss.spec.javax.xml.bind:jboss-jaxb-api_2.3_spec:jar:1.0.1.Final:compile
[INFO] |  +- org.reactivestreams:reactive-streams:jar:1.0.2:compile
[INFO] |  +- javax.validation:validation-api:jar:2.0.1.Final:compile
[INFO] |  +- org.jboss.spec.javax.annotation:jboss-annotations-api_1.3_spec:jar:1.0.1.Final:compile
[INFO] |  +- javax.activation:activation:jar:1.1.1:compile
[INFO] |  +- org.apache.httpcomponents:httpclient:jar:4.5.4:compile
[INFO] |  |  +- org.apache.httpcomponents:httpcore:jar:4.4.7:compile
[INFO] |  |  +- commons-logging:commons-logging:jar:1.2:compile
[INFO] |  |  \- commons-codec:commons-codec:jar:1.10:compile
[INFO] |  +- commons-io:commons-io:jar:2.5:compile
[INFO] |  +- net.jcip:jcip-annotations:jar:1.0:compile
[INFO] |  \- org.jboss.logging:jboss-logging:jar:3.3.2.Final:compile

+是不是表示可以进一步展开但这里没有显示？

这里有一些背景:https://nvd.nist.gov/vuln/detail/CVE-2021-44228

Answer 1

您可以使用:

mvn dependency:tree -Dincludes=*log4j*

它将找到任何在其 groupId 中的任何位置具有“log4j”的依赖项和传递依赖项。

输出示例:

\- org.springframework.boot:spring-boot-starter-web:jar:2.6.0:compile
[INFO]    \- org.springframework.boot:spring-boot-starter:jar:2.6.0:compile
[INFO]       \- org.springframework.boot:spring-boot-starter-logging:jar:2.6.0:compile
[INFO]          \- org.apache.logging.log4j:log4j-to-slf4j:jar:2.14.1:compile
[INFO]             \- org.apache.logging.log4j:log4j-api:jar:2.14.1:compile

每个模式段都是可选的，并且支持完整和部分 * 通配符。空模式段被视为隐式通配符。

例如，org.apache.* 将匹配组 ID 以 org.apache. 开头的所有 Artifact ，而::::*-SNAPSHOT 将匹配所有快照 Artifact 。

另见 maven doc

编辑

然后您很可能希望通过以下方式排除这些依赖项:

<dependency>
    <groupId>your dep groupId</groupId>
    <artifactId>your dep artifactId</artifactId>
    <exclusions>
        <exclusion>
            <groupId>org.apache.logging.log4j</groupId>
            <artifactId>log4j-api</artifactId>
        </exclusion>
        <exclusion>
            <groupId>org.apache.logging.log4j</groupId>
            <artifactId>log4j-to-slf4j</artifactId>
            </exclusion>
    </exclusions>
</dependencies>

注意事项

在撰写本文时，它是任何版本 < 2.17.1

存在漏洞的 Log4j 版本可在 Maven Repository 上获得