1 ：：2021/12/10(金) 23:51:31.92 ID:mF2r1jft0●.net ?2BP(10000)
https://img.5ch.net/ico/999991500948725.gif
「やばすぎる」 Javaライブラリ「Log4j」にゼロデイ脆弱性、任意のリモートコードを実行可能 iCloudやSteam、Minecraftなど広範囲のJava製品に影響か
2021年12月10日 16時42分 公開
[松浦立樹，ITmedia]
Javaで使われるログ出力ライブラリ「Apache Log4j」に悪意のある文字列を記録させることで、任意のリモートコードを実行できるようになる（Remote Code Execution, RCE）、ゼロデイ脆弱性があることが12月10日に分かった。広範囲に影響が及ぶ可能性があることから、ITエンジニアを中心に議論の的になっている。
例えばMinecraftでは、チャットに悪意のある文字列を書き込んだりすることでログに記録させるだけで任意のリモートコードを実行できてしまうことが報告されている。すでに、Minecraftの一部サーバでは閉鎖やパッチの適用などの対応を進めている。
Webセキュリティ製品などを手掛ける米LunaSecの報告によると、Minecraftの他、ゲームプラットフォームのSteamやAppleの「iCloud」もこの脆弱性を持つことが分かっており、影響は広範囲に及ぶと考えられるという。
この脆弱性の影響があるのは、Log4jのバージョン2.0から2.14.1までと当初みられていたが、Log4jのGitHub上の議論では、1.x系も同様の脆弱性を抱えていることが報告されている。対策には、修正済みのバージョンである2.15.0-rc2へのアップデートが推奨されている。
セキュリティニュースサイト「Cyber Kendra」によれば、この脆弱性に対して付与されるCVE番号は「CVE-2021-44228」という。
withpop
@anoparanominal
log4jのやつ、LDAPを参照してその中に含まれているURLでダウンロードしたclassファイルを勝手にロードするらしい。なんでこんな謎機能が実装されてるの…？
午後2:55 · 2021年12月10日
Takuo Kihira
@tkihira
今回の log4j の脆弱性が大惨事である理由としては、Java でサーバサイド作っていれば直接でなくても依存で使っていることがほとんどで、関係ないと思っていても大体関係していることなんですよね。そして対策するのが相当大変なので放置する会社が多そうなので、暗黒期突入まで可能性あります。
午後1:25 · 2021年12月10日
https://www.itmedia.co.jp/news/articles/2112/10/news157.html
24 ：：2021/12/11(土) 00:08:27.39 ID:vHhGZuGU0.net
ログに特定の文字列を書き込ませるだけで発動するのか
オワタ
57 ：：2021/12/11(土) 00:36:41.97 ID:syCTTeY20.net
V2C終わったか
120 ：：2021/12/11(土) 03:30:18.60 ID:naKX4FrP0.net
>>119
ガチでこう言っちゃう馬鹿な経営者がいるんだよなぁ…
192 ：：2021/12/11(土) 12:12:34.55 ID:zfE1d8wi0.net
ログ出さなければ終了(´；ω；｀)
218 ：：2021/12/11(土) 16:57:29.37 ID:cLQyhVRm0.net
>>7
くそっ
こんなところでｗｗｗｗ
220 ：：2021/12/11(土) 18:43:04.37 ID:R8vzXuZX0.net
>>217
意味のないやつ
252 ：：2021/12/13(月) 22:32:58.55 ID:QORfTMF00.net
責任転嫁大好き
83 ：：2021/12/11(土) 01:08:08.34 ID:Tgs3qICw0.net
うちのMinecraftがjava版だわ
修正パッチくるのかな
237 ：：2021/12/12(日) 11:24:51.85 ID:gogJYe8D0.net
この手の定番ライブラリは使ってる範囲が広くて影響がでかいから
入れ替えろと言われるとシステム担当が白目向いて泡を吹くレベルｗ
63 ：：2021/12/11(土) 00:40:39.22 ID:N5xWjD9j0.net
>>58
みずほはCOBOLだろ
60 ：：2021/12/11(土) 00:38:08.24 ID:e93/pQIh0.net
終わっていいです(^^)
42 ：：2021/12/11(土) 00:24:51.25 ID:71R72mS40.net
年末に余計な仕事増やすなやアホが
114 ：：2021/12/11(土) 02:35:39.11 ID:0flIWQIX0.net
Webサーバのoutbound通信って必要？
88 ：：2021/12/11(土) 01:18:18.38 ID:fO3AjiIQ0.net
人足あればなんとかなりそ？
227 ：：2021/12/12(日) 01:42:13.41 ID:Nb4ElgXe0.net
遠隔でコマンド打てるとかやりたい放題じゃん
93 ：：2021/12/11(土) 01:23:57.76 ID:S418GzJg0.net
あのthisっての？あれ世の中なめてるよな
「これ」だぜ
158 ：：2021/12/11(土) 09:02:47.16 ID:EJ9JmEzY0.net
>>155
ジャバグラマーは底辺やぞ
145 ：：2021/12/11(土) 08:05:56.02 ID:MXZRAM520.net
お風呂で活躍しすぎたんだ・・・
101 ：：2021/12/11(土) 01:49:30.00 ID:QYlPtFd70.net
バージョン上げるのめんどくせー
151 ：：2021/12/11(土) 08:27:15.46 ID:yOwfDpuN0.net
佐賀のJavaいばあちゃん
138 ：：2021/12/11(土) 07:08:12.22 ID:dY+9858D0.net
>>125
おまえはそれを何も確認せず入れて動かなくなったらどうするとか
考えたことないのか？
52 ：：2021/12/11(土) 00:31:03.91 ID:JKGNVnki0.net
LogBack使ってるからノーダメ
26 ：：2021/12/11(土) 00:10:41.14 ID:yUm7lVRT0.net
JavaScriptって響きいいよね。
33 ：：2021/12/11(土) 00:17:24.29 ID:1gf9/VoI0.net
CVE-2021-44228(ヨシフには)
35 ：：2021/12/11(土) 00:19:08.05 ID:AfCIBSFY0.net
>>28
設定できるリソースあるなら同時にlog4j本体入れ替えるやろ
178 ：：2021/12/11(土) 10:42:23.83 ID:bYQ/aOjB0.net
>>23
ガッ
47 ：：2021/12/11(土) 00:26:23.49 ID:Qdo46+OS0.net
もう対応終わったのでヨシ
丁度ライブラリ更新作業してたので
手間が少なかった
22 ：：2021/12/11(土) 00:06:49.21 ID:AfCIBSFY0.net
誰かが昔仕込んで現役で使用されてるバックドアじゃね
236 ：：2021/12/12(日) 11:17:47.05 ID:xOWKUqsZ0.net
だからC#のほうがいいって言ったのに
34 ：：2021/12/11(土) 00:17:29.26 ID:rmBgLwNL0.net
UA弄ってそれらしいサイトにアクセスするだけで爆撃できちゃうんじゃね？
90 ：：2021/12/11(土) 01:19:51.03 ID:YlJPwjdN0.net
Javaだ〜 Java Javaだ〜 Javaだ〜
違いがわかる男の…
61 ：：2021/12/11(土) 00:38:11.22 ID:/voERAfm0.net
結局はcobolu最強か
106 ：：2021/12/11(土) 02:15:53.79 ID:klmLfql20.net
ジャワカレーの甘口クソうめぇンだわ
17 ：：2021/12/11(土) 00:00:08.57 ID:OXFLv8Lg0.net
飲み物やろ？
9 ：：2021/12/10(金) 23:55:40.44 ID:wvTAHdNV0.net
息をするのもめんどくせえ〜！
208 ：：2021/12/11(土) 13:55:41.67 ID:xnb2EtMs0.net
>>193
ユーザーとしてもディベロッパーとしても経験が無いことを
素直に告白しているなんて偉いね！
107 ：：2021/12/11(土) 02:22:57.87 ID:cu1rLS/80.net
ジャバ・ザ・ハット？
201 ：：2021/12/11(土) 12:41:41.17 ID:opcXQO3E0.net
they jack say
10 ：：2021/12/10(金) 23:56:22.69 ID:G+fMw8fM0.net
このき…脆弱性を攻撃するウィルスをコロナと名付ける
250 ：：2021/12/13(月) 16:19:11.97 ID:e8Yn+9K30.net
(゜∀。)ｱﾋｬﾋｬﾋｬﾋｬﾋｬ…
人気ライブラリ「Apache Log4j」に深刻な脆弱性、悪用も – 影響の確認や対策の実施を
https://www.security-next.com/132376
「Apache Log4j」の脆弱性、VMwareの36製品に影響
https://www.security-next.com/132381
「WebEx Meetings Server」などCisco複数製品に「Apache Log4j」由来の脆弱性
https://www.security-next.com/132387
143 ：：2021/12/11(土) 07:55:58.92 ID:GK65uL2s0.net
COBOL
196 ：：2021/12/11(土) 12:20:40.40 ID:Cc7GyW/D0.net
>>129
なんだこのうごき
129 ：：2021/12/11(土) 06:19:08.30 ID:ryIg0HTG0.net
> LDAPを参照してその中に含まれているURLでダウンロードしたclassファイルを勝手にロード
これ、故意に穴開けてるよね
38 ：：2021/12/11(土) 00:21:21.41 ID:1uhaC/P20.net
kog4jはよく使うよな
135 ：：2021/12/11(土) 06:57:19.11 ID:qu5xM12+0.net
>>125
かわいそうなくらい知識ないな
末端でしか働いたことがないのだろう
もしくは趣味のプログラムかな？
157 ：：2021/12/11(土) 09:02:45.70 ID:5sWVCGFB0.net
>>155
javaもCもやったけど、なぜか年収400万で制御盤設計とPLCのプログラムしてるわ
122 ：：2021/12/11(土) 03:56:28.45 ID:v3oqW72S0.net
>>1
ライブラリの欠陥であって
Javaの欠陥ではない
176 ：：2021/12/11(土) 10:33:04.24 ID:5sWVCGFB0.net
>>172
ぶっちゃけ安すぎるとは思ってる
赤字生産機4人位抱えてる零細だから給料上がらん
3人だけで赤字生産機と戦いつつ、10人支えてるけどもう限界が近づいてきた
134 ：：2021/12/11(土) 06:54:31.61 ID:6Y4w4Ks+0.net
カレーが食べたい♪
162 ：：2021/12/11(土) 09:27:01.06 ID:uofwR5FH0.net
最近PHPばっか
ソースが汚いのばっかでイライラする
コメント