java - log4j 漏洞 - Sleuth 依赖

Question

我们听说 log4j-core.jar 存在漏洞。
我们注意到 spring-cloud-starter-sleuth(版本 2.2.2.RELEASE)依赖带来了一个使用 log4j-core.jar(版本 2.13.0)的依赖提供范围如下:

<dependency>
  <groupId>org.apache.logging.log4j</groupId>
  <artifactId>log4j-core</artifactId>
  <version>${log4j.version}</version>
  <scope>provided</scope>
</dependency>

带来 log4j 依赖的确切 jar 是:

<groupId>io.zipkin.brave</groupId>
<artifactId>brave-context-log4j2</artifactId>
<version>5.10.1</version>

我们没有在我们的代码或配置中使用 Zipkin，只是 Sleuth。
我们的代码容易受到攻击吗？

Answer 1

Spring Cloud Sleuth 2.x 不再受支持，正如 M. Deinum 提到的，由于 provided 范围，Sleuth 不会为您带来这些依赖项。您可以通过运行 gradlew dependencies 或 mvn dependency:tree 来测试它。