最近发现了critical log4j vulnerability。
我想升级当前 Solr 实例使用的 log4j，所以我checked here。
但是，我在“/server/resources/”文件夹中看不到log4j.properties 文件。
我看到的只有：
这些文件都不包含版本。那么要升级，下载最新版本的log4j并覆盖文件夹“\solr-8.10.1\server\lib\ext”中的现有jar是否安全，或者推荐的升级步骤是什么？
【问题讨论】：
您指向的链接适用于旧版本的 Solr（6.6 而不是 8.10.1）。正确的版本是https://solr.apache.org/guide/8_10/configuring-logging.html，它提到使用 log4j 2。
文件 log4j2.xml（甚至是 `log4j.properties）配置日志本身，而不是 log4j 的版本。所以更新那个文件是无关紧要的。
这里是what the project page recommends：
2021-12-10，Apache Solr 受 Apache Log4J CVE-2021-44228 影响
...
说明： 8.11.1 之前的 Apache Solr 版本使用易受 RCE 攻击的 Apache Log4J 库的捆绑版本。有关完整影响和其他详细信息，请参阅 Log4J 安全页面。
...
缓解：以下任何一项都足以防止 Solr 服务器出现此漏洞：
- 升级到 Solr 8.11.1 或更高版本（如果可用），其中将包括 log4j2 依赖项的更新版本。
- 手动更新运行时类路径上的 log4j2 版本并重新启动 Solr 应用程序。
- (Linux/MacOS) 编辑您的 solr.in.sh 文件以包含：SOLR_OPTS="$SOLR_OPTS -Dlog4j2.formatMsgNoLookups=true"
- (Windows) 编辑您的 solr.in.cmd 文件以包括：set SOLR_OPTS=%SOLR_OPTS% -Dlog4j2.formatMsgNoLookups=true
- 遵循https://logging.apache.org/log4j/2.x/security.html 中列出的任何其他缓解措施
您提出的建议（覆盖文件夹“\solr-8.10.1\server\lib\ext”中的现有 jar）似乎是第二种方法，因此它应该可以正常工作。只需确保这是包含 log4j 依赖项的正确位置。
【讨论】：
SLF4J: Failed to load class "org.slf4j.impl.StaticLoggerBinder". SLF4J: Defaulting to no-operation (NOP) logger implementation SLF4J: See http://www.slf4j.org/codes.html#StaticLoggerBinder for further details.。关于我还能做些什么来解决它的任何建议？
我将 /opt/solr-7.4.0/server/lib/ext 文件夹中的所有 log4j jar 从 2.11 更新到 2.15，但没有发现任何问题。你的方法似乎奏效了。
【讨论】：
在 lib/ext 中将所有 jar 替换为对应的 2.15 版本并重新启动 solr。似乎工作。
【讨论】：
对于 Solr 版本 8.6.4，我现在通过简单地交换“Solr\server\lib\ext”下的 5 个 log4j*.jar 文件对 log4j2 2.16 进行了更新。此外，我还必须将 slf4j-api.jar 更新到 1.7.24 版。这似乎开箱即用。
下载链接：
【讨论】：
缓解：以下任何一项都足以防止 Solr 服务器出现此漏洞：
升级到 Solr 8.11.1 或更高版本（如果可用），这将 包括 Log4J 依赖项的更新版本 (>= 2.17.0)。
如果 您正在使用 Solr 的官方 docker 镜像，它已经 在 Docker Hub 上列为支持的所有版本中得到缓解： https://hub.docker.com/_/solr。您可能需要重新拉取图像。
在运行时类路径上手动更新 Log4J 的版本，并 重新启动 Solr 应用程序。
(Linux/MacOS) 编辑你的 solr.in.sh 要包含的文件：SOLR_OPTS="$SOLR_OPTS -Dlog4j2.formatMsgNoLookups=true"
(Windows) 编辑您的 solr.in.cmd 文件以包含：set SOLR_OPTS=%SOLR_OPTS% -Dlog4j2.formatMsgNoLookups=true
关注https://logging.apache.org/log4j/2.x/security.html 中列出的任何其他缓解措施
参考：https://solr.apache.org/security.html#apache-solr-affected-by-apache-log4j-cve-2021-44228
在我的情况下，以下 jar 受到影响，并被直接来自 Apache 的最新包替换。使用log4j detector 之类的东西来识别受影响的罐子。
【讨论】：
SOLR_OPTS="$SOLR_OPTS -Dlog4j2.formatMsgNoLookups=true" 将缓解特定漏洞，但仍有其他可能的攻击（infoq.com/news/2021/12/log4j-zero-day-vulnerability）。您应该将 Log4j 至少升级到 2.17.1。
如果您将 Solr 作为 docker 运行，您可以在从 jar 中删除 JndiLookup.class 后，在外部挂载与 Solr 映像中使用的相同的 log4j-core 版本。
让我来看看我用过的步骤。
找到 Solr 映像正在使用的 log4j-core 版本。您可以通过在运行 Solr 的主机中或进入 Solr 容器后执行以下命令来完成此操作
find / -name "log4j-core-*.jar"
在那里你会得到两条路径。根据Solr security news page，我们可以忽略prometheus-exporter路径。剩下的就是server/lib/ext/路径
复制该特定 .jar 文件或从 Internet 下载相同版本。我已经用log4j-core-2.11.2.jar测试了这个
将该 jar 文件复制到运行 Solr 容器的主机中，并使用此 log4j-detector 检查其漏洞状态。
使用上述工具检查该漏洞并不复杂。您需要做的是将该 log4j-detector-2021.12.16.jar 文件下载到可访问的位置，然后针对您的 log4j-core jar 文件运行命令。
java -jar log4j-detector-2021.12.16.jar 8.4.1-ext > hits_8.4.1_ext.txt
然后你会得到如下输出，说它是易受攻击的。
/ext/log4j-core-2.11.2.jar 包含 Log4J-2.x >= 2.10.0 易受攻击 :-(
现在让我们从 log4j-core jar 文件中删除 JndiLookup.class
zip -q -d 8.4.1-ext/ext/log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class
然后，针对同一个 log4j-core jar 文件再次检查漏洞，您将能够看到如下所示的内容。
/ext/log4j-core-2.11.2.jar 包含 Log4J-2.x POTENTIALLY_SAFE :-| （或者您是否已经删除了 JndiLookup.class？）
这意味着 JndiLookup.class 删除已成功完成。
让我们使用 docker-compose.yaml 挂载 log4j-core jar 文件
卷：
-./log4j-core-2.11.2.jar:/opt/solr-8.4.1/server/lib/ext/log4j-core-2.11.2.jar
现在，重新启动您的 Solr docker 容器。
我个人的偏好是使用带有环境变量的SOLR_OPTS 更新属性，因为它既漂亮又干净。
【讨论】：
使用the new CVE SOLR_OPTS 是不够的。升级到 2.17 似乎是最好的选择。这对我们有用。
sudo find / -name "*log4j*"
cd /app/solr/solr-7.7.0/server/lib/ext/
sudo curl https://dlcdn.apache.org/logging/log4j/2.17.0/apache-log4j-2.17.0-bin.zip --output apache-log4j-2.17.0-bin.zip
sudo unzip apache-log4j-2.17.0-bin.zip
sudo rm log4j-*-2.11*
sudo cp apache-log4j-2.17.0-bin/{log4j-1.2-api-2.17.0.jar,log4j-api-2.17.0.jar,log4j-core-2.17.0.jar,log4j-slf4j-impl-2.17.0.jar} ./
sudo chown solr:solrgrp *
sudo chmod 755 *
sudo service solr restart
cd /app/solr/solr-7.7.0/contrib/prometheus-exporter/lib/
sudo rm log4j-*-2.11*
sudo cp /app/solr/solr-7.7.0/server/lib/ext/apache-log4j-2.17.0-bin/{log4j-api-2.17.0.jar,log4j-core-2.17.0.jar,log4j-slf4j-impl-2.17.0.jar} ./
sudo chown solr:solrgrp *
sudo chmod 755 *
sudo service solr restart
【讨论】：