CVE-2021-44228 – log4j - Relato de vulnerabilidade

<p>Foi relatada uma vulnerabilidade no log4j, um framework de logging para Java.<br /> <br /> - Versões afetadas: 2.0 ~ 2.14.1<br /> - Versão corrigida &gt;= 2.15.0-rc1<br /> - Recomenda-se aplicar patches em todos os sistemas que utilizam a biblioteca Apache log4j<br /> <br /> - Principais afetados<br /> * Apache Struts<br /> * Apache Solr<br /> * Apache Druid<br /> * Apache Flink<br /> * ElasticSearch<br /> * Flume<br /> * Apache Dubbo<br /> * Logstash<br /> * Kafka<br /> * Spring-Boot-starter-log4j2</p>

[v08zbv8fvlkjasdflkj]

<p>Ah, então o log4j é uma função de logging?<br /> <br /> Só pelo nome, achei que fosse math log4</p>

[xguru]

<p>É um bug que permite Remote Code Execution (RCE) quando um conteúdo contendo determinada string é registrado em log. </p>

[kunggom]

<p>Enquanto isso, parece que já tem gente usando essa vulnerabilidade de segurança para transformar servidores de Minecraft em servidores de Doom. Rip and Tear!<br /> https://twitter.com/gegy1000/status/1469714451716882434</p>;

[budlebee]

<p>kkkkkk até portar Doom para servidor de Minecraft...</p>

[xguru]

<p>Como o alcance afetado é enorme, a imprensa nacional está até fazendo caça-cliques com títulos como &quot;A pior vulnerabilidade já descoberta na história dos computadores&quot;...</p>

[kunggom]

<p>Como há muitos produtos afetados que são reconhecíveis só pelo nome, parece que o alcance do impacto também não é nada pequeno.<br /> Sobre como reproduzir a vulnerabilidade, isso está descrito na matéria abaixo.<br /> <br /> [PC Magazine] Countless Servers Are Vulnerable to Apache Log4j Zero-Day Exploit<br /> https://pcmag.com/news/…;

[tkwlsrl]

<p>No caso do SpringBoot, é recomendável seguir o link abaixo.<br /> https://spring.io/blog/2021/… /> <br /> maven<br /> &lt;properties&gt;<br /> &lt;log4j2.version&gt;2.15.0&lt;/log4j2.version&gt;<br /> &lt;/properties&gt;<br /> <br /> gradle<br /> ext['log4j2.version'] = '2.15.0'</p>