「やばすぎる」　Javaライブラリ「Log4j」にゼロデイ脆弱性、任意のリモートコードを実行可能　iCloudやSteam、Minecraftなど広範囲のJava製品に影響か

アニメとゲームカテゴリーの変更を依頼記事元:

www.itmedia.co.jp

522 usersがブックマークコメント

105

「やばすぎる」　Javaライブラリ「Log4j」にゼロデイ脆弱性、任意のリモートコードを実行可能　iCloudやSteam、Minecraftなど広範囲のJava製品に影響か

Webセキュリティ製品などを手掛ける米LunaSecの報告によると、Minecraftの他、ゲームプラットフォームの... Webセキュリティ製品などを手掛ける米LunaSecの報告によると、Minecraftの他、ゲームプラットフォームのSteamやAppleの「iCloud」もこの脆弱性を持つことが分かっており、影響は広範囲に及ぶと考えられるという。この脆弱性の影響があるのは、Log4jのバージョン2.0から2.14.1までと当初みられていたが、Log4jのGitHub上の議論では、1.x系も同様の脆弱性を抱えていることが報告されている。対策には、修正済みのバージョンである2.15.0-rc2へのアップデートが推奨されている。セキュリティニュースサイト「Cyber Kendra」によれば、この脆弱性に対して付与されるCVE番号は「CVE-2021-44228」という。脆弱性の報告を受け、Twitter上ではIT エンジニアたちが続々反応。「やばすぎる」「思っていたよりずっとひどいバグだった」「なぜこんな

taruhachi やばすぎるといえばログ中にERRORの文字列見つけたらアラートの電話が私のところに来てた案件はヤバかった。URLにいたずらでERRORを含めるだけで電話がなる。

2021/12/10 リンク

runt_nc 内容はともかく、nlabでもないITmediaでこんな煽りタイトルはいただけない。わかる人間は最初の鍵括弧がなくてもヤバさがわかるし、最初の鍵括弧に釣られるような層はこれ読んでも何のことかわからないでしょ。

unfallen_castle 「LDAPを参照してその中に含まれているURLでダウンロードしたclassファイルを勝手にロードする」マジか。これ、既にメンテナンスできなくなってるシステムとか詰んでる可能性があるのでは

Y_Mokko 例えばMinecraftでは、チャットに悪意のある文字列を書き込んだりすることでログに記録させるだけで任意のリモートコードを実行できてしまうことが報告されている。

kuzumimizuku バージョン2系だけなら対策済みのバージョン（2.15.0-rc2）にアップデートするのは比較的問題なさそうだけど、バージョン1系もとなるとちょっとこれはややこしいことになりそう。

naggg “Minecraftの他、ゲームプラットフォームのSteamやAppleの「iCloud」もこの脆弱性を持つことが分かっており、影響は広範囲に及ぶと考えられるという”

セキュリティ

2021/12/11 リンク

hdkINO33 “「Javaでサーバサイドを作っていれば直接でなくても依存で使っていることがほとんどで、関係ないと思っていてもだいたい関係している。対策するのが相当大変なので放置する会社が多そう」”

t-tanaka 穴を塞いだのは12月5日のこのCommit→ https://github.com/apache/logging-log4j2/commit/d82b47c6fae9c15fcb183170394d5f1a01ac02d3 で，これをみた外部のユーザーがそののやばさに気がつき，対応バージョンが公開される前にexploitを公開，の流れか。

yamuchagold よくある煽りの『やばすぎる』が狼少年扱いになって久しいが、これは本当にヤバい。今、自分が直接Java案件に携わってないことをラッキーと思うレベル。

strangeweek “例えばMinecraftでは、チャットに悪意のある文字列を書き込んだりすることでログに記録させるだけで任意のリモートコードを実行できてしまうことが報告されている。”

Lumin というか実装した奴馬鹿じゃねーのかこれ。誰も使いもしない（から今まで指摘がなかった）危険なだけで意味不明な機能を…

LM-7 週末直前にスコア10点満点の致命的なゼロディ脆弱性が発見され、すでに悪用した攻撃が始まっている。多くのサービスが致命的な被害を受けかねない。Severity: Critical Base CVSS Score: 10.0 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H