Neo4j 和 CVE-2021-44228

Question

Neo4j 是否受到 CVE-2021-44228 的影响？关注哪些版本的 Neo4j？

是否可以按照 post 中所述设置 log4j2.formatMsgNoLookups 参数来缓解漏洞？

Answer 1

Neo4j > 4.2 的版本受到影响。描述的解决方法确实有效。

在有修复的版本可用之前，请将以下行添加到您的 neo4j.conf 文件中：

dbms.jvm.additional=-Dlog4j2.formatMsgNoLookups=true 
dbms.jvm.additional=-Dlog4j2.disable.jmx=true

您需要重新启动服务器才能使更改生效。

编辑 2021 年 12 月 14 日：

具有固定依赖关系的新版本 Neo4j 可用

Neo4j and CVE-2021-44228