CVE-2021-44228 – log4j - भेद्यता रिपोर्ट

<p>Java के logging framework log4j में एक भेद्यता की रिपोर्ट की गई है.<br /> <br /> - प्रभावित versions : 2.0 ~ 2.14.1<br /> - fixed version &gt;= 2.15.0-rc1<br /> - Apache log4j library का उपयोग करने वाले सभी systems पर patch लागू करने की सिफारिश की जाती है<br /> <br /> - प्रभावित होने वाले प्रमुख उदाहरण<br /> * Apache Struts<br /> * Apache Solr<br /> * Apache Druid<br /> * Apache Flink<br /> * ElasticSearch<br /> * Flume<br /> * Apache Dubbo<br /> * Logstash<br /> * Kafka<br /> * Spring-Boot-starter-log4j2</p>

[v08zbv8fvlkjasdflkj]

<p>अरे, log4j क्या logging करने वाला फ़ंक्शन है?<br /> <br /> मैंने सिर्फ़ नाम देखकर सोचा था कि यह math का log4 है</p>

[xguru]

<p>यह एक ऐसा बग है जिसमें अगर किसी सामग्री को, जिसमें कोई खास स्ट्रिंग शामिल हो, लॉग में दर्ज किया जाए तो Remote Code Execution (RCE) संभव हो जाता है.</p>

[kunggom]

<p>इस बीच, ऐसा लगता है कि कुछ लोग इस security vulnerability का इस्तेमाल करके Minecraft सर्वर को Doom सर्वर में बदल रहे हैं। Rip and Tear!<br /> https://twitter.com/gegy1000/status/1469714451716882434</p>;

[budlebee]

<p>हाहाहा, Minecraft server तक पर Doom पोर्ट कर दिया..</p>

[xguru]

<p>इसका प्रभाव क्षेत्र इतना बड़ा है कि घरेलू मीडिया में इसे "कंप्यूटर इतिहास की सबसे खराब vulnerability की खोज" जैसे शीर्षक लगाकर क्लिकबेट की तरह बेचा जा रहा था...</p>

[kunggom]

<p>प्रभावित प्रोडक्ट्स में ऐसे कई प्रोडक्ट हैं जिनके नाम भर से लोग उन्हें पहचान लेते हैं, इसलिए लगता है कि इसका प्रभाव-क्षेत्र भी काफी बड़ा है.<br /> इस vulnerability को reproduce करने का तरीका नीचे दिए गए लेख में बताया गया है.<br /> <br /> [PC Magazine] Countless Servers Are Vulnerable to Apache Log4j Zero-Day Exploit<br /> https://pcmag.com/news/…;

[tkwlsrl]

<p>SpringBoot के मामले में नीचे दिए गए लिंक के अनुसार काम करना अच्छा रहेगा.<br /> https://spring.io/blog/2021/… /> <br /> maven<br /> &lt;properties&gt;<br /> &lt;log4j2.version&gt;2.15.0&lt;/log4j2.version&gt;<br /> &lt;/properties&gt;<br /> <br /> gradle<br /> ext['log4j2.version'] = '2.15.0'</p>