Apache Pulsar 针对 Log4j2 漏洞 (CVE-2021-44228) 的解决方案

作者：Matteo Merli，Apache Pulsar PMC 主席，StreamNative CTO

近日，由于Apache Log4j2 某些功能存在递归解析功能，攻击者可直接构造恶意请求，触发远程代码执行漏洞。该漏洞的细节和修复进展可以参考 CVE-2021-44228.

Apache Pulsar 的当前版本捆绑受此漏洞影响的 Log4j2 版本。我们强烈建议您遵循 Apache Log4j 社区的建议并尽快修补您的系统。

针对 Apache Pulsar 系统而言，有两种解决方法可以修补 Pulsar 部署。您可以设置以下任一项：

1. Java属性： -Dlog4j2.formatMsgNoLookups=true
2. 环境变量： LOG4J_FORMAT_MSG_NO_LOOKUPS=true

以上两种方法都可以有效缓解 Pulsar 服务的漏洞。

此外，当使用 Kubernetes 运行时运行 Pulsar Functions 时，您应该按照以下示例更新 Docker 镜像。

如果您使用 Pulsar Helm Chart 在 Kubernetes 中进行 Pulsar 部署，该 Helm Chart 的新版本已可用，并且已应用了上述解决方法。如果你的生产环境不适合将其升级，还可以通过将 -Dlog4j2.formatMsgNoLookups=true 添加到 configData 中的 PULSAR_EXTRA_OPTS，用于 proxy、broker、BookKeeper、ZooKeeper、自动恢复和 helm 值文件中的相关组件来缓解该漏洞。

社区正在加速新的补丁发布，以及 2.7.4、2.8.2 与 2.9.1 版本的发布，这些版本将在未来几天内准备就绪，并将捆绑包含漏洞修复的 Log4j2 2.15.0 版本。

技术支持

如果您对该漏洞中 Apache Pulsar 相关事项有任何问题或疑虑，欢迎在 Apache Pulsar GitHub 仓库提 issue，或者在 Pulsar 技术交流群中与社区交流。

关注公众号「Apache Pulsar」，获取干货与动态

加入 Apache Pulsar 中文交流群