Как определить, какие сторонние библиотеки Java используют Log4j 1.x? - PullRequest
Новая
       39

Как определить, какие сторонние библиотеки Java используют Log4j 1.x?

0 голосов
/ 30 марта 2020

По адресу CVE-2019-17571 , помеченному клиентом. Я пытаюсь обновить Log4j 1.2.x, используемый в нашем приложении Rails на основе jfreechart, до Log4j 2 (следуя инструкциям здесь ). Однако я не мог сказать, какая библиотека Java все еще использует старый импорт Log4j 1.x. Вот ошибка, которую я вижу в журнале Rails (приложение для построения диаграмм Java загружается через RJB ): 

$ tail -f production_log.2020-03-29

FATAL 2020-03-29 16:58:49 30512 NoClassDefFoundError (org/apache/log4j/Logger):
  lib/chart_interface.rb:24:in 'method_missing'
  lib/chart_interface.rb:24:in 'createChart'
  app/controllers/dash_controller.rb:565:in 'resources_info'

Это хороший способ выяснить, какие сторонние Java библиотеки используют старый импорт Log4j 1.x? 

$ ls -ltr
total 8756
-rw-r----- 1 root  ainet  391430 Oct  5 02:16 log4j-1.2.15.jar.old
-rwxr-x--- 1 root  ainet 1801249 Mar 26 03:15 wig.jar
-rwxr-x--- 1 root  ainet  288911 Mar 26 03:15 tcommon-2.1.jar
-rwxr-x--- 1 root  ainet  657841 Mar 26 03:15 postgresql-9.4-1202.jdbc42.jar
-rwxr-x--- 1 root  ainet 1702810 Mar 26 03:15 log4j-core-2.13.1.jar
-rwxr-x--- 1 root  ainet  292243 Mar 26 03:15 log4j-api-2.13.1.jar
-rwxr-x--- 1 root  ainet 1425744 Mar 26 03:15 jfreechart-1.0.13.jar
-rwxr-x--- 1 root  ainet   62103 Mar 26 03:15 commons-pool-1.3.jar
-rwxr-x--- 1 root  ainet  121757 Mar 26 03:15 commons-dbcp-1.2.2.jar
-rw-r--r-- 1 ainet ainet  330507 Mar 26 03:50 jcommon-1.0.24.jar

$ grep -R apache\.log4j
Binary file log4j-1.2.15.jar.old matches

Единственный удар был в старом jar-файле, и все же RJB жалуется на NoClassDefFoundError.

...