Elasticsearch 解决 log4j 安全漏洞 - 升级镜像

咸鱼老罗

已于 2022-05-01 17:55:59 修改

阅读量3.5k

点赞数

CC 4.0 BY-SA版权

文章标签： elasticsearch

于 2021-12-15 11:01:29 首次发布

本文链接：https://blog.csdn.net/luo4105/article/details/121947698

针对Apache Log4j 2的安全漏洞CVE-2021-44228，本文提供了一个快速教程来检查Elasticsearch（ES）是否存在此漏洞并进行升级。通过进入ES容器查找log4j版本，如果版本过低，则需要下载log4j-core-2.16.jar和log4j-api-2.16.jar，并在新的Dockerfile中替换原有jar，最后打包新镜像。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一、概论

Apache Log4j 2 被披露出存在严重代码执行漏洞，目前官方已发布正式安全公告及版本，漏洞编号：CVE-2021-44228，漏洞被利用可导致服务器被入侵等危害。
公司 ES 使用 Log4j 2 组件，存在安全问题，升级 ES 镜像中的 Log4j 2 版本解决该问题。

1.1 原理

java 项目只用替换编译出来的 jar 包就可以。

二、快速教程

2.1 判断 ES 是否存在漏洞

进入 ES 容器，查找 log4j 版本，使用find 命令查找

docker run -it --user root devops-docker.pkg.codingcorp.net/coding-private/infra/elasticsearch:6.8.13.analysis.ik bash

find / -name log4j-core-*.jar
find / -name log4j-api-*.jar

如果版本小于 2.17.jar，就需要升级

2.2 下载物料

下载 log4j-core-2.16.jar 和 log4j-api-2.16.jar
https://repo.maven.apache.org/maven2/org/apache/logging/log4j/log4j-core/2.16.0/
https://repo.maven.apache.org/maven2/org/apache/logging/log4j/log4j-api/2.16.0/