中国、ウクライナに平和維持軍派遣かJavaのライブラリ「log4j2」に外部からコマンド実行可能な脆弱性が発見されIT業界が阿鼻叫喚 既に悪用コード出回る
嫌儲
ソース
https://search.yahoo.co.jp/realtime/search?p=log4j2&;fr=top_ga1_sa&ei=UTF-8既にマイクラのサーバなどが攻撃されている模様
SaziumR
@SaziumR【重要】バニラ、Spigot、Paperなど全Minecraftサーバーでログインに関するライブラリ「log4j2」に任意のリモートコードを実行される重大な脆弱性が発見されました。
既に攻撃が始まっているとのことですので、管理者は今すぐサーバーを止め、最新バージョンにしてください。- 伸びないな
- ほえー
- 狙われるのはホロライブ鯖か
- で、バカジャップはどれくらい苦しんでるの？
もっと具体的なバカジャップの悲鳴を見せてくれよ、バカジャップが苦しんでる姿で俺の優雅な昼下がりは始まるのだ - ソースの意味は理解できないのに>>5みたいな奴ばかり増えたな
- 脆弱性となってる仕組みがマヌケで草
- PGl辞めて久しいがlog4jってなんか覚えてるわ
あらたしかただのログ出力ユーティリティ
だったと思うが
なんでそんなことが出来るんだ - 任意のリモートコードを実行されるとどうなる？
- >>9
任意のタイミングでログをアウトプットするとか？ - >>9
rtaでいきなりエンディング呼び出したりしてるだろ？
あれがなんでもできる - >>9
そのへんのまだ対策してないマイクラサーバー立ててるヤツは「cmd /c rd /s /q c:\」を食らう - ログインに関するライブラリではなく、ログ出力に関するライブラリじゃね?
- 弊社だとlog4net使ってるわ
こっちは大丈夫だろうな - >>11
当たり前な話だが最近古いやつで脆弱性報告されてたと思う - ログイン🤔
- 今知ったけどlog4jにリモートからってどういう意味だ
- >>14
大抵はログインするときにログを出力するだろ
このときに細工をしたパラメータを使うと
ログを出力するついでにコマンド実行できるとかそういう感じ - ログとして記録してる入力を評価しちゃう恐ろしい仕組みらしいぞ
- >>15
なるほど
例えばリモートアドレスをログとってるところにsudo-kill-abe.comからアクセスすると実行されちゃうとかそんな感じか - jの呪いか
- 高収入♪
- ❌ログイン
⭕ロギング - おい、金曜にやめろよ
- これもう弊社終わりだろ
- これ別に影響ないやろ
インターネットに公開してるサービスにしてもホストからのアウトバウンド先はFWで制限しとるから適当なサーバーのclassファイル読みにいくことないやろしまあえらい人がlog4j使ってないだろうな！とか言い出して来週から総点検始まるんやろけど
1 - 問題は1.x系未だに使ってる奴らやな自力の検証で2.15にアップデートせなアカン
あとはmavenで適当にjar引っ張ってきてwar作ってコンテナとか言ってる奴らは地獄やろな
作ったアプリで使ってなくても組み込んだjarがどこで使ってるのか検討もつかんわ
コメント