如何更新Tableau Scout 1.5的log4j以修复漏洞恢复使用？

Scout是一款探索性测试工具，可与Tableau Server或Desktop产品交互，捕获特定用户在多个工作簿上操作的性能指标。其v1.5版本于2021年12月3日发布，恰逢Log4j漏洞爆发前夕，目前因该漏洞无法正常使用，以下是恢复运行的可行方案：

• 临时漏洞修复（无需升级Scout）

  • 禁用Log4j Lookups：修改Scout的JVM启动参数，添加-Dlog4j2.formatMsgNoLookups=true，阻断漏洞利用的核心触发路径。
  • 替换受影响的Log4j库：定位Scout安装目录下的log4j-core-*.jar文件，替换为官方修复后的版本（推荐使用2.17.1及以上兼容版本），替换后需验证工具功能是否正常。

• 获取官方安全更新

  • 查阅Tableau官方社区或支持渠道，确认是否针对Scout v1.5发布了Log4j漏洞修复补丁，若有则按照官方指引完成补丁安装或版本升级。

• 隔离环境运行

  • 若无法进行补丁或版本更新，可将Scout部署至与公网完全隔离的离线环境，仅用于内部测试场景，同时严格限制访问用户范围，降低被攻击风险。

• 自定义适配修复

  • 若具备开发能力，可修改Scout的依赖配置，将Log4j替换为其他安全的日志框架（如SLF4J搭配Logback），重新编译或打包后使用，此方法需充分测试与Tableau产品的兼容性。

内容的提问来源于stack exchange，提问作者Rudolph561