Wie kann ich herausfinden, welche Version von Log4J ich verwende?

Wie wir alle wissen, befinden sich am Ende mindestens vier oder fünf Log4j-JAR-Dateien im Klassenpfad. Wie kann ich feststellen, welche Version ich verwende?

Ich kam hierher, nachdem ich erfahren hatte, dass meine Server für den neuen Log4j-Exploit anfällig sein könnten (CVE-2021-44228). Also musste ich wissen, ob ich einen veralteten/anfälligen Build von Log4j Version 2 installiert hatte.

Frühere Antworten hier helfen nicht beim Erkennen alter Versionen, da sie dazu dienen, bereits ausgeführten Java-Code herauszufinden, welche Version von Log4j dieser Code verwendet, während ich wissen muss, ob beliebig Die Java-App verwendet möglicherweise eine anfällige Version.

Folgendes habe ich stattdessen getan:

sudo find / -name 'log4j*'

Dies listet alle Log4j-bezogenen Dateien auf meinem (Linux-)Server auf. Das zeigte mir ein paar 1.x-Versionen, die für dieses spezielle CVE nicht anfällig sind, und eine 2.15.0-Datei, die bereits den Fix für das CVE enthält.

Wenn Sie dies ausführen und Datei- oder Ordnernamen finden, die 2.x haben, wobei x < 15, dann sind Sie wahrscheinlich anfällig und müssen herausfinden, wie Sie Ihre Dateien so schnell wie möglich aktualisieren können.

Vorsicht

Ich wurde gewarnt, dass dies für meinen Zweck als Test nicht ausreicht, da die Log4j-Dateien möglicherweise in einer .jar-Datei versteckt sind, die die find Befehl würde nicht entdecken.

Aktualisieren

Hier ist ein öffentliches Projekt, das versucht, alle .jar-Dateien zu scannen, um Log4j-Code auch in Archiven zu finden: Log4-Detektor

Es hängt vom ClassLoader ab, aber schau mal das Beispiel:

import org.apache.log4j.Layout;

public class X {
    public static void main(String[] a) {
        Package p = Layout.class.getPackage();
        System.out.println(p);
        System.out.println("Implementation title:   " + p.getImplementationTitle());
        System.out.println("Implementation vendor:  " + p.getImplementationVendor());
        System.out.println("Implementation version: " + p.getImplementationVersion());
    }
}

Sie können die Methode aufrufen getImplementationVersion auf der Layout Klasse von log4j:

org.apache.log4j.Layout.class.getPackage().getImplementationVersion()

Ich würde nicht erwarten, dass dies die bevorzugte Methode ist, aber so habe ich die Version von Log4j ermittelt, die meine Software verwendet:

Öffnen oder extrahieren Sie den Inhalt der Log4j-JAR-Datei mit einem ZIP-Archivierungsprogramm (Windows Explorer unterstützt dies). Navigieren Sie in das “META-INF” Unterverzeichnis und öffnen Sie die Datei “MANIFEST.MF” in einem Texteditor. Suchen Sie die Zeile, die mit “Implementierungs-Version“, das ist die Log4j-Version.

Offensichtlich ist dies keine programmatische Lösung. Aber wenn Sie einfach wissen wollen, welche Version Sie verwenden und Sie das .jar-Archiv haben, funktioniert es.

Ich bemerkte, dass Package.getSpecificationVersion() Und Package.getImplementationVersion(), wie in der Antwort von Loic M. erwähnt, funktionieren für andere .jar-Bibliotheken, aber nicht für mein Log4j. Es ist möglich, dass die von mir verwendete Version dies einfach nicht unterstützt.

Ich habe die Version heruntergeladen 2.13.1 die oben genannten Methoden auszuprobieren und festgestellt, dass sie damit funktionieren. Also war es meine Version (1.2.16), die sie nicht unterstützte und zurückkehrte null.

Um die Log4j-Version während zu kennen Laufzeit in Java:

LOGGER.info("Log4j version: " + org.apache.logging.log4j.util.PropertiesUtil.class.getPackage().getImplementationVersion());

Oder

System.out.println("Log4j version: " + org.apache.logging.log4j.util.PropertiesUtil.class.getPackage().getImplementationVersion());

Ich habe ein kleines Bash-Skript geschrieben, um die Versionen jeder Log4j-JAR-Datei zu überprüfen, die sich auf diesem Server befindet. Es liest die Versionsinformationen aus der Manifestdatei, da das Vertrauen in Dateinamen ein wenig riskant ist.

locs=( $(sudo find / -name 'log4j*'|grep jar) )
fcount=${#locs[@]}

echo "Found $fcount jar files"
echo " "

for (( j=0; j<${fcount}; j++ ));
do
    unzip ${locs[$j]} META-INF/MANIFEST.MF
    mv META-INF/MANIFEST.MF META-INF/MANIFEST$j.MF
done

echo " "
for (( j=0; j<${fcount}; j++ ));
do
    echo ${locs[$j]}
    tail -2 META-INF/MANIFEST$j.MF
done

1. Da es mehrere Versionen derselben Klassen aus verschiedenen Log4j-Abhängigkeiten gibt, könnte jede von ihnen während der Laufzeit geladen werden (vorausgesetzt, dass derselbe Klassenname in verschiedenen JAR-Dateien vorhanden ist).

2. Ich verwende Plugins von bereitgestellt Finsternis Und IntelliJ-IDEE zu sehen Maven Abhängigkeitsbaum. Dann schließe ich die älteren aus, um nur die benötigte Log4j-Version zu haben.

Löschen Sie alle JAR-Dateien der Versionen, die Sie nicht benötigen (eine sollte ausreichen), und um die Version der verbleibenden herauszufinden, sehen Sie sich den Dateinamen an.

Zum Beispiel:

log4j-1.2.17.jar