Ну там патч оказалось что надо патчить, если не путаю.
Куда смешнее, что у логфоржа ахулиард пользователей и такую дырень нашли так поздно. Подумалось, что читать жава код того, что цепляешь на баланс - для слабаков.
У log4j второй версии (а затронута только она) не так уж много пользователей, в основном с первой версии все свалили на slf4j+logback, вторая опоздала. Правда хз чё там может найтись в логбэке ещё может быть интересного )