Log4Shellで何が起こっていたのかを追ってみる - セキュアスカイプラス
はじめに こんにちは。久々に寝坊やらかして凹んでる、SST研究開発部の小野里です。今年入ってきた新人さんたちは、私のようにならないでほしいと祈るばかりです。 さて、新年度には入ってしまいましたが、つい先日まで2021年度新卒研修最後の延長戦として、以前話題になったLog4Shell脆弱性のPoCを作るという課題に取り組んでいました。やっと動作するところまでいったものの、ここまでの道のりは非常に果てしなく複雑で長く険しいものでした。 セキュリティ業界において、多くの場合脆弱性の詳細な再現手順は伏せられる傾向にあります。それは主に悪用を防ぐためなのですが、セキュリティの初学者には実際の所何をどうするとどう危ないのか、分かりづらい場合も多いのが現状です。 Log4Shell脆弱性は非常に大きな騒ぎになったため、各所の対応も早かったかと思います。そこで、比較的Log4Shellの影響が落ち着いてき
米バイデン政権、「Log4j」問題などを受けGAFAやOpenSSFなどを招いたOSSセキュリティ会議開催
米バイデン政権、「Log4j」問題などを受けGAFAやOpenSSFなどを招いたOSSセキュリティ会議開催 米連邦政府は1月13日（現地時間）、Apple、Google、Amazonなどいわゆるビッグテックとオープンソースソフトウェア（OSS）組織のトップを招いたサイバーセキュリティ会議を開催した。2021年12月に発見されたLog4jの脆弱性を契機に緊急で開催が決まったものだ。 参加企業および組織は、Akamai、Amazon、Apache Software Foundation、Apple、Cloudflare、Meta（旧Facebook）、GitHub、Google、IBM、Linux Foundation、Open Source Security Foundation、Microsoft、Oracle、RedHat、VMWare。OracleはLog4jライブラリが実行されるJa
「Log4j」2.17.0にもリモートコード実行の脆弱性 修正バージョン公開
任意のリモートコードが実行可能になってしまうゼロデイ脆弱性が問題になったJava向けロギングライブラリ「Apache Log4j」に、また脆弱性が見つかった。提供元の米The Apache Software Foundation（ASF）は、脆弱性を修正したバージョンへのアップデートを呼び掛けている。 新たな脆弱性（CVE-2021-44832）は、攻撃者がログ設定ファイルを変更できる権限を持った場合にリモートコードの実行が可能になるというもの。影響範囲はバージョン2.0-alpha7から2.17.0までの2系（ただし特定のセキュリティ修正バージョンを除く）。 CVSS（共通脆弱性評価システム）スコアは6.6で深刻度は「Moderate」。当初のゼロデイ脆弱性（CVSS10.0で「致命的」）より影響レベルは低いが、直前に見つかっていたDoS（サービス拒否）攻撃の脆弱性よりは高く見積もられて
「Apache Log4j」の脆弱性を中国政府に最初に報告しなかったとしてAlibaba Cloudにペナルティ
by phphoto2010 Javaライブラリ・Apache Log4j・に存在するゼロデイ脆弱(ぜいじゃく)性「Log4Shell」を発見しApacheに報告したAlibaba Cloudのセキュリティチームについて、中国政府が「最初に政府に報告しなかった」ことを理由にペナルティを課したことがわかりました。 Apache Log4j bug: China’s industry ministry pulls support from Alibaba Cloud for not reporting flaw to government first | South China Morning Post https://www.scmp.com/tech/big-tech/article/3160670/apache-log4j-bug-chinas-industry-ministry-pul
Apache Log4jの脆弱性とともに浮かび上がったオープンソースのメンテナの責任範囲の問題 - YAMDAS現更新履歴
www.jpcert.or.jp piyolog.hatenadiary.jp 先週は Apache Log4j の脆弱性問題が大きな話題となった……と過去形で書いてはいけないのかもしれない。危機はまだ続いている。 今回、脆弱性の破壊力のヤバさとともにクローズアップされたのは、今日、多くのビジネスの生命線となっているオープンソースソフトウェアのメンテナンスが、無報酬であり感謝されない仕事になっており、「オープンソースは壊れている」んじゃないの？ という問題である。 20年以上みんなずっと同じ話してるなと思ってしまうが、オープンソースが壊れている、壊れていないの話がやたらに流れている。この文脈ならフリーソフトウェアの時代からずっと壊れてるんだよ。それでも動いているのは自由だからだよ。— Shuji Sado (佐渡 秀治) (@shujisado) December 14, 2021 dev
広く使われているJavaライブラリ「Log4j」に深刻な脆弱性。速やかに確認と対策を
オープンソースのロギングライブラリとしてさまざまなJavaアプリケーションに使われている「Apache Log4j」に、任意のリモートコードが実行できてしまう脆弱性が発見されました（CVE - CVE-2021-44228）。 これが悪用されると、第三者が勝手にサーバを操作して悪意のあるソフトウェアを組み込んだり、悪意のある攻撃を行う際の踏み台にされるなどのさまざまな攻撃が行われます。 すでに脆弱性の存在は広く知れ渡っているため、脆弱性のあるLog4jを使っているシステムはいつでも攻撃を受ける可能性があるのです。 この脆弱性は広範囲な影響が予想されており、多くの専門家が非常に深刻な状況として捉えています。 できるだけ速やかに、JavaアプリケーションにおけるLog4jの利用の確認と対策が必要です。 Javaアプリケーションに明示的にLog4jを組み込んでいない場合も、例えばStrutsやR
Apache Log4jの任意のコード実行の脆弱性（CVE-2021-44228）に関する注意喚起
JPCERT-AT-2021-0050 JPCERT/CC 2021-12-11（新規） 2022-01-04（更新） I. 概要 更新: 2022年1月4日記載 現時点で不明な点もあることから、今後の動向次第で下記掲載内容を修正、更新する予定がありますので、関連情報への注視のほか、本注意喚起の更新内容も逐次ご確認ください。 次の更新を行いました。詳細は「III. 対策」を参照してください。 - Apache Log4jのバージョン2.17.1（Java 8以降のユーザー向け）、2.12.4（Java 7のユーザー向け）及び2.3.2（Java 6のユーザー向け）が公開されました JavaベースのオープンソースのロギングライブラリのApache Log4jには、任意のコード実行の脆弱性（CVE-2021-44228）があります。Apache Log4jが動作するサーバーにおいて、遠隔の第三
Log4Shell: RCE 0-day exploit found in log4j, a popular Java logging package | LunaTrace
Originally Posted @ December 9th & Last Updated @ August 1st, 3:30pm PDT Fixing Log4Shell? Claim a free vulnerability scan on our dedicated security platform and generate a detailed report in minutes. What is it?On Thursday, December 9th a 0-day exploit in the popular Java logging library log4j (version 2), called Log4Shell, was discovered that results in Remote Code Execution (RCE) simply by log
悩めるエンジニアの気まぐれ日誌 - ブログ
C言語のロギングライブラリLog4cを調べる機会があったのでメモ。 まず、設定ファイルについては「Log4c の設定」がとても詳しいです。完璧なのであります、すばらしい。 <?xml version="1.0" encoding="ISO-8859-1"?> <!DOCTYPE log4c SYSTEM ""> <log4c version="1.2.1"> <config> <bufsize>0</bufsize> <debug level="2"/> <nocleanup>0</nocleanup> <reread>1</reread> </config> <category name="log4c.examples" priority="INFO" appender="stdout" /> <appender name="stdout" layout="dated" type="st
Log4J コネクションプーリング対応JDBCAppenderでパフォーマンスを向上する
はじめに Apache Logging Services ProjectのLog4Jは、DBにログを出力するためのクラスとしてJDBCAppenderクラスを用意しています。このクラスはコネクションプーリングに対応していないため、ログを出力するたびに「DBへの接続」「SQL実行」「DB接続のクローズ」を繰り返します。そのためログの出力回数が増えるとシステムの負荷が高くなってしまいます。本稿では、JDBCAppenderクラスを拡張してコネクションプーリングに対応させる例を紹介します。DBのコネクションプーリング機能は「Jakarta commons DBCP」を使用します。 対象読者 Javaでプログラミングしたことがある方を対象とします。 必要な環境 J2SE5.0 Log4J 1.2.11 Jakarta Commons DBCP 1.2.1 Jakarta Commons Pool
2004-11-09
朝早いんです。なぜ夜遅いのは平気で、朝早いのは苦手なんだろうか？それは夜遅くまで起きてるから朝が苦手なんだよ…ってそれじゃ早起きした日は夜が苦手か？というと実はノーで、早起きしても夜は遅いのです(笑) Traveling Notes アーティスト: 葉加瀬太郎,Makoto Yamaki,鳥山雄司出版社/メーカー: ハッツ・アンリミテッド発売日: 2003/10/08メディア: CD クリック: 10回この商品を含むブログ (19件) を見るどの曲も良いですが、特に6曲目に収録されている「大地のうた」が好きかも。2:55あたりから始まる間奏(?)が一瞬クロノトリガーを連想させました。全然関連性は無いんですけど、なんとなく…なんとなくかすかにクロノトリガーの感覚がしました。オープニングの間奏と似てるかも。まぁクロノトリガーは置いておいて、葉加瀬太郎の曲はどれも好きです。 RollingFil
JAVA Servlet、JSP 基礎編13 - ロギング、commons-logging、log4j.properties - SAK Streets
JAVA Servlet、JSP 基礎編13 - ロギング、commons-logging、log4j.properties ■ロギング ロギングとやらを試してみた。 使用したパッケージは、 commons-logging-current.zip jakarta-log4j-1.2.8.zip である。 ■log4j commons-logging がロギングの共通インタフェースを提供して、log4j などを 使う仕組みになっているようである。 何を使うかは優先順位があったり、設定できたりするが、うちの環境では log4j が優先されていた。 Tomcat の catalina.sh で、JAVA_OPTS に使用するものを設定もできたが、 不要とわかって消してしまったのでコードを失念してしまった。(^^; 控えておけば良かった... ■jar 配置 次の jar を WEB-INF/li
Log4jのアペンダDailyRollingFileAppdenderはローリングがうまくいかないことがある - 矢野勉のはてな日記
Java, メモ Javaでロギングといえばlog4j。J2SE標準にログクラスが追加されたときはlog4jの命運が話題になりましたが、未だにlog4jはJavaにおける最強のロギング・ライブラリです。log4netなんていう.NET向けのものがあったり、なんとlog4rなんていうRuby向けのものまであるくらい、支持層は幅広いですね。 でもWindows NTベース環境（XP含む）だと、ローリングがうまくいかないことがあるんですね。log4jはいろんなスレッドから同時にアクセスするなんてことが当たり前のようにある。UNIX環境だと比較的うまく動くようですが（やはり一部問題はあるようです）、Win環境だと、潜在的問題が覿面に現れる。 問題は、ログのローテートを行う時に、File#renameTo()でリネームするところです。J2SE 1.4環境では、これはOSの移動処理を呼ぶんですかね、ロ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - YfryTchsGD/Log4jAttackSurface