【悲報】世界的サーバー管理ソフトに欠陥 [323057825]

1 ::2021/12/14(火) 16:42:46.02 ID:xxeo1Bly0●.net ?PLT(13000)
https://img.5ch.net/ico/syodai_mona.gif
世界的に利用されているウェブサーバーのログ(接続記録)などを管理するソフトウエアに、セキュリティー上の欠陥が見つかったことが14日、分かった。
既に弱点を悪用する攻撃が日本で確認されており、サーバー乗っ取りなどの被害が出る恐れもある。
米アマゾン・ドット・コムなどIT(情報技術)各社も影響の可能性を発表しており、政府も欠陥の修正などの対応を求めている。

「Apache Log4j(アパッチ ログフォー…

世界的サーバー管理ソフトに欠陥、Amazonなど調査
https://www.nikkei.com/article/DGXZQOUC140XO0U1A211C2000000/

49 ::2021/12/14(火) 18:53:48.09 ID:ROcvthRC0.net

>>9
初期化してバックアップから復元するまでサーバが停まるのはどう対処するのか
バックアップに脆弱性が残ってたらどうやって取り除くのか

63 ::2021/12/14(火) 19:56:37.80 ID:uKW94xE30.net

log4j作者のプロフィールが開き直ってて笑ったわ。

https://mobile.twitter.com/ceki
(deleted an unsolicited ad)

58 ::2021/12/14(火) 19:24:47.24 ID:xr1VlytV0.net

世界的ですもんね。

27 ::2021/12/14(火) 16:59:11.57 ID:4qNM/QhZ0.net

>>22
そう言うこと
ユーザーのアクセスログとかも
User-Agentをログに吐き出していたりすれば、それもアウト

71 ::2021/12/14(火) 21:57:26.19 ID:MNAaaaj80.net

>>65
たどり着くというかテキストフィールドに攻撃コードを書けばあとはログ出力してるサーバが終わる

29 ::2021/12/14(火) 17:02:09.90 ID:p0fn5NoS0.net

Log4は約0.6だし、バージョン1.0に達していないの使っていたんだからしょうがないじゃん

35 ::2021/12/14(火) 17:12:56.61 ID:g3ZW0+dJ0.net

ゲーム関係だとマイクラやsteamも影響あるとか記事があったな

28 ::2021/12/14(火) 16:59:56.72 ID:DuE2TTQK0.net

>>22
出力するログに任意のコードを埋め込むみたいだね
SQLインジェクションと似た感じかな

34 ::2021/12/14(火) 17:12:47.70 ID:vQDpDaBo0.net

やっぱ文系がこういう記事書くとダメね

23 ::2021/12/14(火) 16:57:02.18 ID:CnXvgfl20.net

うちの実装ではあまり意味なかったから、半年前に無効化・削除したところだ。
で、世界的サーバ管理ソフトってなんぞ?

64 ::2021/12/14(火) 20:04:27.87 ID:UuFRd4gG0.net

ログ管理ソフトに欠陥、Amazonなど調査
(※見出しに一部不備があったため、修正し再投稿しました)
https://twitter.com/nikkei/status/1470697347747360768
(deleted an unsolicited ad)

20 ::2021/12/14(火) 16:55:14.32 ID:imdeNqkTO.net

>>3
(´・ω・`)ドンマイ

18 ::2021/12/14(火) 16:53:56.43 ID:8hO1GtyY0.net

ボンジュール 鯖?

17 ::2021/12/14(火) 16:52:56.49 ID:xPX2vJUp0.net

Log4j がどうのこうのという前に Java で開発やってるのがリスクだと思う
色々な意味で

38 ::2021/12/14(火) 17:16:41.80 ID:N9KzkDwv0.net

Zabbix?

39 ::2021/12/14(火) 17:18:11.07 ID:5Fh4Qch40.net

俺たちゃ、裸がユニフォーム

25 ::2021/12/14(火) 16:58:00.52 ID:rfo5/Ozq0.net

>>3
パッチあててあげるからおちんちん出して!早く!!!

4 ::2021/12/14(火) 16:44:35.10 ID:YFD/XmqH0.net

ロガーをサーバー管理ソフトと呼ぶのか…

15 ::2021/12/14(火) 16:50:11.11 ID:e9nG4+sw0.net

サーバー街道

福井県嶺南地方と京都を結ぶ街道の総称

11 ::2021/12/14(火) 16:46:31.71 ID:mwCaDF4V0.net

えっ? ログ管理ソフトからサーバ乗っ取りを?

26 ::2021/12/14(火) 16:58:27.15 ID:rvRH6FRx0.net

>>19
オープンだからバグはすぐ修正できる。バグが無いわけじゃない

45 ::2021/12/14(火) 18:23:32.48 ID:whhvr80w0.net

>>9
ニートは気楽でいいな

9 ::2021/12/14(火) 16:46:20.73 ID:an0zQFvW0.net

サーバーを乗っ取られたら、何が起こるの?
物理的に盗まれるわけじゃない
初期化してバックアップから復元すれば、
元通りでしょ?

バックアップされてないサーバーなんて、
ありえないよね?

何を騒いでるの?

76 ::2021/12/14(火) 23:11:43.33 ID:Obk1M55/0.net

世界的なログ管理ソフトを採用してるサーバー管理ソフトってことね
おおやけになってるからたいしたことないだろ

52 ::2021/12/14(火) 19:10:05.83 ID:aJNIzBKX0.net

lookupが付くAPIの文字列を変数に変換する機能を使ってコードを実行するとか言ってたな

37 ::2021/12/14(火) 17:14:33.88 ID:YEj9FPSz0.net

で、被害出始めてる?

81 ::2021/12/15(水) 08:13:43.56 ID:BcMvGWrK0.net

>>68
オープンソースの弊害だと思う
マイクロソフトならこんな機能絶対作らなかった

40 ::2021/12/14(火) 17:29:47.24 ID:74oFhTcX0.net

>>28
任意のLDAPサーバだかにあるjavaクラスを実行できるらしい
やりたい放題だな

12 ::2021/12/14(火) 16:47:21.46 ID:+/JNX2xc0.net

>>9
じょうよわハッケーン
おまえの情報筒抜けかもよー

69 ::2021/12/14(火) 21:54:01.19 ID:AK7D/tuo0.net

アパッチ野球

68 ::2021/12/14(火) 21:52:23.40 ID:Vr5mqHIc0.net

Lookupにバグがあったのはともかく、クラスファイルを
ダウンロードしてきてロードするなんて機能必要か?
なんでこんな機能があるんだよ。これ半分仕様だろ、信じられないほどアホな。

61 ::2021/12/14(火) 19:50:40.20 ID:gC0AtXOA0.net

>>31
マイクロでソフトなんですか

8 ::2021/12/14(火) 16:46:16.70 ID:yTbO5m550.net

いっぽうみずほ銀行はメンテフリーの6年モノの記憶媒体

56 ::2021/12/14(火) 19:21:32.75 ID:YDrEQv+c0.net

サーバー管理じゃなくてログ管理だぞ

13 ::2021/12/14(火) 16:48:09.63 ID:+WunUOfr0.net

>>6
どこに返すんだよ

22 ::2021/12/14(火) 16:56:32.82 ID:ZRSAsQ9N0.net

どうやって外部からlog4jなんて乗っ取れるんだろ?
画面入力をそのままログ出力してる場合とか?

19 ::2021/12/14(火) 16:54:25.54 ID:WNIPCoxL0.net

オープンソースじゃないの?
誰もbugを見つけられなかったの?

7 ::2021/12/14(火) 16:45:32.63 ID:FbKd1tse0.net

log4なんとかって他にもあるよね?

83 ::2021/12/15(水) 16:26:49.22 ID:ql95SkX40.net

これ金盾も突破可能?

59 ::2021/12/14(火) 19:28:25.94 ID:vyS/TVfw0.net

>>3
お前の実践ログ、空っぽやん

53 ::2021/12/14(火) 19:11:14.52 ID:C3bTi+W+0.net

攻撃方法簡単過ぎワロタ

30 ::2021/12/14(火) 17:05:34.69 ID:ZRSAsQ9N0.net

>>27,28
レスありがとう
じゃあうちのは全部ダメだね

67 ::2021/12/14(火) 21:51:27.78 ID:iZHsOzfW0.net

今日全然パソコン打てんかった
なんなん?
会計システムで固まるの?
クソだろ

74 ::2021/12/14(火) 23:01:03.21 ID:FCfZdvEy0.net

>>46
どうやってFWで落としてるの?

33 ::2021/12/14(火) 17:08:40.77 ID:bdeslycU0.net

ロガーは管理ソフトではない件…。

47 ::2021/12/14(火) 18:27:11.14 ID:ZU2/2is70.net

>>37

攻撃は始まってる
FWが攻撃の通信落としてるログがちょいちょい出てる

5 ::2021/12/14(火) 16:44:40.01 ID:H3Ugd9vm0.net

日経の記事遅すぎだろ

6 ::2021/12/14(火) 16:45:03.54 ID:HSONwZlh0.net

>>3
未開封未使用なので返品可

43 ::2021/12/14(火) 18:11:39.42 ID:X3W9T0hD0.net

Javaアプリの部品か??

48 ::2021/12/14(火) 18:27:25.68 ID:T/GFhIrw0.net

10年くらい前にもなんかなかった?