Liferay 7.2 使用哪个版本的 log4j

Question

我使用liferay 7.2.1 GA2，里面有log4j。但我无法弄清楚它在哪里以及在 liferay 中使用的是哪个版本。我唯一找到的是应用管理器中的 liferay 包com.liferay.portal.log4j.extender。

liferay 中使用了哪个版本的 log4j？是否可以为 liferay 更新它？

Answer 1

Liferay Portal 7.2 使用 log4j 1.2.17

您可以在源代码的 lib/versions.html 文件中查看 Liferay Portal 7.2 使用的库，在此处查看 Liferay Portal 7.2 的 log4j 版本：

• https://github.com/liferay/liferay-portal/blob/ded0e9390637985231e962e4ad4cfa4639eabb26/lib/versions.html#L2937-L2942

如果您因为Log4j 2.x Zero-Day Vulnerability而问这个问题，它只影响Liferay Portal 7.4版本。

欲了解更多信息，请参阅此帖子：https://liferay.dev/blogs/-/blogs/log4j2-zero-day-vulnerability

Answer 2

如果您使用的是 Elasticsearch sidecar（捆绑的 Elasticsearch），liferay 在启动时会启动一个额外的进程。据我所知，这个使用的是 log4j-core 2.13.3。

有博文指出弹性搜索没有直接影响，通常这些端口不应该暴露 - 所以你应该确保这一点。