“Log4j用ワクチン”登場　脆弱性を利用して修正プログラムを実行 [156193805]

プロキオン(愛知県) **[US]** · 2021/12/13(月) 17:12:14.12

簡単な方法で任意のプログラムを実行できてしまうとして12月10日ごろからIT系企業で騒動になっている、Apacheソフトウェア財団のJava向けログ出力ライブラリ「Apache Log4j」（Log4j）の脆弱性。
そんな中、“ワクチン”のようにこの脆弱性を修正するプログラムを、米情報セキュリティ企業Cybereasonが12月11日（日本時間）にGitHubで公開した。

Log4jには「JNDI Lookup」という機能があり、これを悪用すると外部のサーバに置いた任意のプログラムを標的に読み込ませ、実行させられる。
対策としては、JNDI Lookup機能を停止する必要がある。
Cybereasonが公開した修正プログラム「Logout4Shell」は、この脆弱性を使って「JNDI Lookup機能を停止させた状態でLog4jを再構築するプログラム」を実行させることで問題を修正するというもの。

同社は「この欠陥は致命的なものになる可能性がある」としてLogout4Shellを公開。
「有志で提供する物で、バグやエラーなどの欠陥が含まれる可能性がある。利用時にはデータの保護をするように」と注意書きをしている。

https://www.itmedia.co.jp/news/articles/2112/13/news125.html

ミラ(茸) **[ﾆﾀﾞ]** · 2021/12/13(月) 17:13:45.90

反ワク「私これうったら体調悪くなった！」

デネボラ(神奈川県) **[US]** · 2021/12/13(月) 17:18:18.37

JNDI Lookup機能使ってる人が居たら…そんな人いないか
ならなんでそんな機能付けたんだよという感じだけど

リゲル(東京都) **[US]** · 2021/12/13(月) 17:49:32.86

マジカヨlogicool最低だな！

アークトゥルス(大阪府) **[US]** · 2021/12/13(月) 18:28:03.40

Boku4K

エンケラドゥス(ジパング) **[US]** · 2021/12/13(月) 18:30:48.16

きじゃくせい

土星(東京都) **[US]** · 2021/12/13(月) 18:37:31.24

3回打つと完璧だな

土星(東京都) **[US]** · 2021/12/13(月) 18:38:24.46

>>3
デフォルトが有効だから設定でわざわざ停止しとかないとダメなんだよなあ

アンタレス(ジパング) **[IL]** · 2021/12/13(月) 18:40:42.21

Javaなんて最初からガバガバ言われとったのに

オールトの雲(光) **[JP]** · 2021/12/13(月) 18:57:43.36

5Gに繋がるようになる？

ベクルックス(東京都) **[ﾆﾀﾞ]** · 2021/12/13(月) 19:23:41.76

バグがあるかもしれないワクチン

ガーネットスター(東京都) **[EU]** · 2021/12/13(月) 19:32:54.57

その手があったか

アクルックス(京都府) **[ﾆﾀﾞ]** · 2021/12/13(月) 20:19:52.78

>>8
アスペかよ

ベスタ(SB-Android) **[US]** · 2021/12/13(月) 20:21:01.42

log4netは問題ないよね！？

アリエル(ジパング) **[CN]** · 2021/12/13(月) 20:31:12.44

環境変数書き換えたら無効になるっぽいからな