Escuchamos que log4j-core.jar es vulnerable.
Notamos que la dependencia spring-cloud-starter-sleuth (versión 2.2.2.RELEASE) trae una dependencia que usa log4j-core.jar (versión 2.13.0) con el alcance provided de la siguiente manera:
<dependency> <groupId>org.apache.logging.log4j</groupId> <artifactId>log4j-core</artifactId> <version>${log4j.version}</version> <scope>provided</scope> </dependency>El jar exacto que trae la dependencia de log4j es:
<groupId>io.zipkin.brave</groupId> <artifactId>brave-context-log4j2</artifactId> <version>5.10.1</version> No usamos Zipkin en nuestro código o configuraciones, solo Sleuth.
¿Es vulnerable nuestro código?
Spring Cloud Sleuth 2.x ya no es compatible y, como mencionó M. Deinum, Sleuth no traerá estas dependencias debido al alcance provided . Puede probar esto ejecutando gradlew dependencies gradlew o mvn dependency:tree .