【发布时间】：2022-01-17 12:57:50
【问题描述】：
我有一个旧项目，其中包含一些在运行时 Log4j 1 类中使用的 jar，我无法升级那些已弃用的 jar 或升级到 Log4j2，因为已弃用的库是为使用 Log4j1 而构建的。根据 Apache 网站，版本 1 不支持：
请注意，Log4j 1.x 已结束生命周期，不再受支持。 2015 年 8 月之后报告的针对 Log4j 1.x 的漏洞没有经过检查，也不会修复。用户应升级到 Log4j 2 以获得安全修复。
我想保护这个应用程序免受安全风险。
所以我想知道我是否使用了最新的Apache Log4j 1.x Compatibility API 以及最新的Apache Log4j API 和最新的Apache Log4j Core。
这会保护我的应用程序吗？还是最新的 Apache Log4j 1.x Compatibility API 仍然存在安全问题？
【问题讨论】：
-
现在可能有点明显，但为了读者的利益，这是没有维护您的软件以使用处于安全维护状态的版本的结果。您应该计划迁移到版本 2（但如果可以，也可以在短期内以更简单的方式修复它）。