「やばすぎる」 Javaライブラリ「Log4j」にゼロデイ脆弱性、任意のリモートコードを実行可能 iCloudやSteam、Minecraftなど広範囲のJava製品に影響か

Webセキュリティ製品などを手掛ける米LunaSecの報告によると、Minecraftの他、ゲームプラットフォームのSteamやAppleの「iCloud」もこの脆弱性を持つことが分かっており、影響は広範囲に及ぶと考えられるという。 この脆弱性の影響があるのは、Log4jのバージョン2.0から2.14.1までと当初みられていたが、Log4jのGitHub上の議論では、1.x系も同様の脆弱性を抱えていることが報告されている。対策には、修正済みのバージョンである2.15.0-rc2へのアップデートが推奨されている。 セキュリティニュースサイト「Cyber Kendra」によれば、この脆弱性に対して付与されるCVE番号は「CVE-2021-44228」という。 脆弱性の報告を受け、Twitter上ではITエンジニアたちが続々反応。「やばすぎる」「思っていたよりずっとひどいバグだった」「なぜこんな

[taruhachi]

やばすぎるといえばログ中にERRORの文字列見つけたらアラートの電話が私のところに来てた案件はヤバかった。URLにいたずらでERRORを含めるだけで電話がなる。

[gabill]

これは「やばすぎる」でいいと思う。非エンジニアの経営層にも届いた方がいい情報。

[runt_nc]

内容はともかく、nlabでもないITmediaでこんな煽りタイトルはいただけない。わかる人間は最初の鍵括弧がなくてもヤバさがわかるし、最初の鍵括弧に釣られるような層はこれ読んでも何のことかわからないでしょ。

[madridNewyork]

必死に朝から全アプリのlog4jバージョンアップしたよで今帰宅中かなり疲れた

[unfallen_castle]

「LDAPを参照してその中に含まれているURLでダウンロードしたclassファイルを勝手にロードする」マジか。これ、既にメンテナンスできなくなってるシステムとか詰んでる可能性があるのでは

[urtz]

任意のリモートコードが実行できるならこの穴を外部から塞ぐことも出来るのかな

[Y_Mokko]

例えばMinecraftでは、チャットに悪意のある文字列を書き込んだりすることでログに記録させるだけで任意のリモートコードを実行できてしまうことが報告されている。

[kuzumimizuku]

バージョン2系だけなら対策済みのバージョン（2.15.0-rc2）にアップデートするのは比較的問題なさそうだけど、バージョン1系もとなるとちょっとこれはややこしいことになりそう。

[masa_w]

やばい。最新版にできるならいいけど、1.xもダメとなると詰んでるところ結構あるんでは…

[saikyo_tongaricorn]

「なっなぜこれほどまでの脆弱性がなんの野心も持たず在野で暮らしていたのだ！」

[rxjun]

年末のくそいそがしいときにやめてくれえ

[naggg]

“Minecraftの他、ゲームプラットフォームのSteamやAppleの「iCloud」もこの脆弱性を持つことが分かっており、影響は広範囲に及ぶと考えられるという”

[hdkINO33]

“「Javaでサーバサイドを作っていれば直接でなくても依存で使っていることがほとんどで、関係ないと思っていてもだいたい関係している。対策するのが相当大変なので放置する会社が多そう」”

[t-tanaka]

穴を塞いだのは12月5日のこのCommit→ https://github.com/apache/logging-log4j2/commit/d82b47c6fae9c15fcb183170394d5f1a01ac02d3 で，これをみた外部のユーザーがそののやばさに気がつき，対応バージョンが公開される前にexploitを公開，の流れか。

[Helfard]

何をどうしたらそんなことになるのだ？

[stp7]

30億のデバイスで任意コードが走るJava。

[tick2tack]

えらいこっちゃ。一応設定でも簡易的な対処できるのね

[x100jp]

サーバーサイドJavaだけなら、うちはセーフだけど。。log4phpとかは、使い方を似せてるだけなんだっけ？

[yamuchagold]

よくある煽りの『やばすぎる』が狼少年扱いになって久しいが、これは本当にヤバい。今、自分が直接Java案件に携わってないことをラッキーと思うレベル。

[nakag0711]

休出ご苦労様です

[strangeweek]

“例えばMinecraftでは、チャットに悪意のある文字列を書き込んだりすることでログに記録させるだけで任意のリモートコードを実行できてしまうことが報告されている。”

[lizy]

以前も同じような脆弱性が別の何かにあったような……気のせいかな

[tattyu]

思ったよりサーバサイドをJavaで作ってる所多いんだなって思った。

[tanakh]

(´･_･`)

[Lumin]

というか実装した奴馬鹿じゃねーのかこれ。誰も使いもしない（から今まで指摘がなかった）危険なだけで意味不明な機能を…

[yamanka00]

SEOインジェクションみたいなもん？

[koogawa]

JavaJava騒がれてるのはこれか

[LM-7]

週末直前にスコア10点満点の致命的なゼロディ脆弱性が発見され、すでに悪用した攻撃が始まっている。多くのサービスが致命的な被害を受けかねない。Severity: Critical Base CVSS Score: 10.0 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

[zakinco]

うへぇ。履歴見れば誰が入れたか分かるんじゃないかな？

[flont]

ログを解釈しようというlog4jの設計思想はさすがに論外すぎる。Cがprintfの第二引数以降を解釈しない理由とかちょっとでも考えたことあればこうはしない

[topiyama]

version 1 用の修正も作った方が良いんじゃない？

[Dragoonriders]

うへー。

[fashi]

単体で使ってるやつは更新すりゃいいけどミドルウェアのライブラリに使われてるやつはやばい

[oshishosan]

偉い猫「何？！修正終わってない？ボーナス返せ」そして転職へ

[KoshianX]

えー？ これ1.x の頃からずっとあったのか……。てことは既に悪用されてきた可能性もあるかなあ……。

[programmablekinoko]

報告、公開された時点でパッチが無く攻撃方法が明確に公開されたんでゼロデイだよ

[kuzumaji]

ヤバすぎる、て見出しが誇大じゃないレベルに深刻だった。

[queeuq]

logbackでよかった。しかしエグいなこれ。

[arumaru]

LDAPへのアウトバウンドのポートを塞いでれば大丈夫なん？

[vanish_l2]

誰かガンダムで例えてくれよ