気に入った記事をブックマーク
- 気に入った記事を保存できます
保存した記事の一覧は、はてなブックマークで確認・編集ができます
- 記事を読んだ感想やメモを書き残せます
- 非公開でブックマークすることもできます
log4j2の脆弱性(CVE-2021-44228) - てきとうなメモ
3 users
boscono.hatenablog.com
boscono.hatenablog.com
boscono.hatenablog.com
注目コメント算出アルゴリズムの一部にLINEヤフー株式会社の「建設的コメント順位付けモデルAPI」を使用しています
少し調べたのでメモ 概要 外部からの入力をlog4jでそのままログ出力しようとすると、任意のコードを実行... 少し調べたのでメモ 概要 外部からの入力をlog4jでそのままログ出力しようとすると、任意のコードを実行できる脆弱性 CVE-2021-45046とv2.16.0について v2.15.0で修正されたかに見えたが、MessagePatternConverter以外の攻撃経路が見つかった。そのため、v2.16.0へのアップデートが推奨される。formatMsgNoLookupsや%m{nolookups}では防げない経路なので、これらによる対策も不十分である。 v2.16.0ではJNDIの機能そのものをデフォルトでオフにして、メッセージ内のLookup機能は削除されている。 ただし、v2.15.0のデフォルト設定でJNDIへのアクセスはlocalhost等の自身へのアクセスに限られているので、危険度は低い localhostのbypass手段が見つかったようだ。そのため、Lookup可能な経路
boscono.hatenablog.com
boscono.hatenablog.com
boscono.hatenablog.com
boscono.hatenablog.com
www.sankei.com
anond.hatelabo.jp
anond.hatelabo.jp
shueisha.online
togetter.com
zenn.dev/nakasyou
zenn.dev/fujiwara
www.itmedia.co.jp
www.itmedia.co.jp
japan.cnet.com
pc.watch.impress.co.jp
www.kabutotai.net
netshop.impress.co.jp
2021/12/16 リンク