Historique de la page

...

• technique "mise à jour" : remplacer les jars de log4j-core par la version 2.15.0 (attention maven central fournit une version compilée pour Java ≥ 8)

• technique "zip" : supprimer la classe du jar

  Bloc de code
  language bash
  zip -q -d log4j-core*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

  NB : si vous lancez la commande en root, le jar appartiendra ensuite à root.

• technique "configurer" : si log4j-core ≥ 2.10, ajouter ceci à la ligne de commande java

  Bloc de code
  language bash
  -Dlog4j2.formatMsgNoLookups=true

  
  

• technique "firewall" : empêcher les requêtes TCP sortantes du serveur (faire un "REJECT" et pas un "DROP" sinon le RCE devient un DoS)

...