CVE-2021-44228 – log4j - Güvenlik açığı bildirimi

<p>Java'nın logging framework'ü log4j'de bir güvenlik açığı bildirildi.<br /> <br /> - Etkilenen sürümler: 2.0 ~ 2.14.1<br /> - Düzeltilmiş sürüm &gt;= 2.15.0-rc1<br /> - Apache log4j kütüphanesini kullanan tüm sistemlere yama uygulanması önerilir<br /> <br /> - Etkilenen başlıca örnekler<br /> * Apache Struts<br /> * Apache Solr<br /> * Apache Druid<br /> * Apache Flink<br /> * ElasticSearch<br /> * Flume<br /> * Apache Dubbo<br /> * Logstash<br /> * Kafka<br /> * Spring-Boot-starter-log4j2</p>

[v08zbv8fvlkjasdflkj]

<p>Ah, log4j loglama yapan fonksiyon mu?<br /> <br /> Sadece adına bakınca math log4 sanmıştım</p>

[xguru]

<p>Belirli bir dizeyi içeren içerik loga kaydedildiğinde Remote Code Execution (RCE) mümkün kılan bir hatadır.</p>

[kunggom]

<p>Bu arada, görünen o ki bu güvenlik açığını kullanarak Minecraft sunucusunu Doom sunucusuna çevirenler de var. Rip and Tear!<br /> https://twitter.com/gegy1000/status/1469714451716882434</p>;

[budlebee]

<p>Hahahah, Doom'u Minecraft sunucusuna bile portlamışlar..</p>

[xguru]

<p>Etkilenen kapsam o kadar büyük ki, yerli basında bunu "bilgisayar tarihinin en kötü açığı bulundu" başlığıyla tıklama tuzağına çevirip pazarlıyorlardı...</p>

[kunggom]

<p>Etkilenen ürünler arasında adını duymanın bile yeterli olduğu pek çok ürün olduğu için, etki alanının da hiç küçümsenecek gibi olmadığı anlaşılıyor.<br /> Güvenlik açığının nasıl yeniden üretileceğiyle ilgili bilgi aşağıdaki haberde yer alıyor.<br /> <br /> [PC Magazine] Countless Servers Are Vulnerable to Apache Log4j Zero-Day Exploit<br /> https://pcmag.com/news/…;

[tkwlsrl]

<p>SpringBoot için aşağıdaki bağlantıyı izleyerek işlem yapmanız iyi olur.<br /> https://spring.io/blog/2021/… /> <br /> maven<br /> &lt;properties&gt;<br /> &lt;log4j2.version&gt;2.15.0&lt;/log4j2.version&gt;<br /> &lt;/properties&gt;<br /> <br /> gradle<br /> ext['log4j2.version'] = '2.15.0'</p>