Re: [新聞] 日誌框架爆漏洞,iCloud、Minecraft、Ste
※ 引述《wizardfizban (瘋法師)》之銘言:
: 日誌框架爆漏洞,iCloud、Minecraft、Steam 等雲端服務密碼全受影響
: https://chinese.engadget.com/log4shell-vulnerability-log4j-054246291.html
: 深泛應用到不同網路服務,包括 Apple iCloud、Steam、Minecraft、Amazon、Twitter、: Minecraft 等的開源日誌框架 Log4j,被發現存有名為 Log4Shell 漏洞,導致相關服務: 的密碼數據都有外洩的可能。據 The Verge 的報導,日誌框架 Log4j 的作用是用以記錄: app 和服務發生過的所有事件,以便開發者可以分析效能,同時可以用來除錯。
: 據 Ars Technika 的說法,首個公佈發現了這個 Log4Shell 漏洞的是 Minecraft,他們: 表示這漏洞會讓駭客可以在遊戲裡執行惡意程式。然而在這個發現之後不久,曾經阻止: WannaCry 散播的安全研究員 Marcus Hutchins,就表示這個 Log4Shell 有著極高嚴重: 性,因為有上百萬個不同 app 都有使用 Log4j 框架。
: 具體來說,Log4Shell 漏洞可讓駭客在目標服務的伺服器中執行惡意程序並下載數據,而: 且執行的方法非常簡單,只需要在服務裡留言就可以觸發動作。以 Minecraft 為例,: Hutchins 表示只需要在留言區中張貼訊息就可以了。至於要在 Apple 伺服器中觸發漏洞: ,app 安全研究公司 LunaSec 表示更是簡單得只要更改 iPhone 名稱就可以。
: 幸好的是 Log4j 已經修復問題,而受影響的服務,包括 Minecraft 和 Cloudflare 也個: 別有補丁來保護使用者。還有其他在使用 Log4j 框架的服務,也請各自的開發者盡快更: 新。
: ====
: 之前麥塊那發現的問題影響這麼大哦!多數雲端服務都有影響?
可以參考這一篇
https://www.lunasec.io/docs/blog/log4j-zero-day/
主要原因跟結果就是
log4j(version 2) was discovered that results in Remote Code Execution(REC) by logging a certain string.
影響版本為
Apache log4j2 >= 2.0, <= 2.14.1
如果是 >=2.9.1以及之後的版本的話可以在
log4j2.component.properties 增加以下的內容
log4j2.formatMsgNoLookups=True
log4j.formatMsgNoLookups=True
2.0~2.10 版本可以在 jvm 啟動參數中加上
-Dlog4j2.formatMsgNoLookups=true 與
-Dlog4j.formatMsgNoLookups=true 關閉功能
或是把系統變數 "FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS" 調成 true 也可以
然後現在還有提到 Apache Tomcat 上的 org.Apache.naming.factory.BeanFactory 來攻擊的事情
https://www.veracode.com/blog/research/exploiting-jndi-injections-java
你各位自家產品有用 log4j.core 記得檢查一下R
spring boot 是只有 interface 用到,應該是沒問題
-----
Sent from JPTT on my Asus ASUS_Z01GS.
--
基本上就是不能把不可信任的資料丟給jndi lookup,都有
injection風險,而這次log4j事件嚇人的地方是專門用來塞各
種不可信任的資料的log library,居然自己在做jndi lookup
20
Re: [閒聊] 關於Chrome無法背景執行的解決方法直接發一篇統整前面說的方法好了 針對更新到99+版本的Chrome, Edge 以及Opera, 如果你不想換瀏覽器, 還有以下方法可能可以防止視窗被覆蓋就裝死的狀態 理論上是一勞永逸, 只要chrome不改架構應該不受未來更新影響 A. 改系統Policy (目前實測對Chrome有效, Edge似乎無效?)13
[討論] Apple Watch 心律不整監測 未啟用今天watchos7.2更新之後 台灣成為唯一一個 ECG和心律不整監測只開放一個的國家 其他表單上國家都是兩個全開 以下為個人推測 合理懷疑心律不整監測在法規上遇到無法解決的障礙 法規上的問題我在板上另一篇文章有提到 #1Vlr37sX (iOS)4
Re: [情報] 駭客利用AMD EPYC伺服器挖礦8天賺10萬鎂這記者到底是在寫三小? 最好intel平台的伺服器不會被攻擊啦 【資安警訊】 Apache Log4j日誌框架系統重大漏洞(CVE-2021-44228),已出現攻擊行動 ,需儘速採取緩解措施3
[求救] Bootcamp Windows 無法連線VPN型號: Macbook Air 2015 early 11.6" 硬體: 8Gb ram、原廠SSD (128G)、副廠SSD(256G) 系統: macOS Monterey 12.01、macOS Big Sur 11.6 Boot Camp: Windows 10 與 Windows 11
60
Re: [閒聊] 給阿活7年,有辦法練得比師傅還強嗎?46
[九日] 赤燭真的無法挽回中國市場了嗎?48
[活俠]晁和這個咖是不是單純來噁心人用的啊?43
[閒聊] alp 朝香的休日 新圖43
[閒聊] 兔田打法環dlc尾王不再純翻滾了42
[塗鴉] 活俠傳 - 唐門樂團(純草圖)38
[閒聊] 哪一種病會真的咳出很多血來?57
Re: [閒聊] 活俠 小師妹香圖 心相+10000037
[討論] 無慘到底在追求什麼?33
[塗鴉] 活俠傳-竹相隨:黑白世界的繽紛冒險32
[Vtub] Pekora是不是挺專情的?32
[鳴潮] 1.1主線最後看不太懂29
[鬼滅] 善逸證明了反差男是最有市場的嗎?28
[24春] 上低音號13 學姊們聽soli時在想什麼?24
[Figure] AniGift 文學少女 1/7 天野遠子24
[文長有雷] RWBY一到九季一口氣補完心得23
[法環] 拉塔恩禁彈反格擋後撤戰灰狀態23
[閒聊] 教宗方濟各認證 15歲《超級瑪利歐》電23
[活俠] 三師兄為什麼會嘴輸路人?21
[閒聊] 庫洛魔法使知世竟然贏小櫻100票73
[無職] 洛琪希的走路速度是不是演技大爆發?21
[活俠] 其實唐門真的要殺人的話是很恐怖的21
[情報] 王者天下802回 會贏喔2.020
[閒聊] 有「我以為是成全」的作品嗎?20
[閒聊] 活俠傳第二輪有雷19
[鬼滅](雷)無慘為什麼需要害怕緣一?22
[閒聊] 官方自己在劇情中喊劇終的作品30
[活俠] 夏侯蘭路線 - 趙活修傘17
[閒聊] iPhone與iPad的3A遊戲移植大作銷量不佳19
Re: [討論] 無慘到底在追求什麼?