https://b.hatena.ne.jp/entry/s/dev.classmethod.jp/articles/log4jrce-springboot-research/ 先日騒ぎになっていた CVE-2021-44228 についてのアプリケーション側の対応について記載いたします。 緩和策としてすでに AWS WAF での Rule の Update 等が行われているため、AWS サービスの詳細については別途... https://b.hatena.ne.jp/nagatomo-beautiful55/20220407#bookmark-4712417233400622050 2022-04-07T14:28:59Z 性 API セキュリティ Java あとで読む https://b.hatena.ne.jp/stakeholder/20220208#bookmark-4712417233400622050 2022-02-08T00:29:35Z https://b.hatena.ne.jp/kaido/20211229#bookmark-4712417233400622050 2021-12-29T10:02:57Z https://b.hatena.ne.jp/shigeaki1jp/20211215#bookmark-4712417233400622050 2021-12-14T16:02:15Z spring Logback 脆弱性 log4j2 https://b.hatena.ne.jp/yggdra_w/20211214#bookmark-4712417233400622050 2021-12-14T05:10:38Z Java セキュリティ https://b.hatena.ne.jp/wirbel172/20211213#bookmark-4712417233400622050 2021-12-13T12:05:51Z https://b.hatena.ne.jp/nodat/20211213#bookmark-4712417233400622050 2021-12-13T10:48:04Z あとで読む https://b.hatena.ne.jp/yutaro1985/20211213#bookmark-4712417233400622050 2021-12-13T06:21:31Z https://b.hatena.ne.jp/nmmmmn1/20211213#bookmark-4712417233400622050 2021-12-13T03:10:43Z https://b.hatena.ne.jp/advblog/20211213#bookmark-4712417233400622050 2021-12-13T02:57:17Z https://b.hatena.ne.jp/yamashiro0110/20211213#bookmark-4712417233400622050 2021-12-13T02:28:39Z https://b.hatena.ne.jp/rochefort/20211213#bookmark-4712417233400622050 この調査は 2021/12/10 終業のタイミングで、アプリケーション側としては一旦の見解は出ており、調査によって休日出勤を強いられてこの記事を書いているわけではありません。 2021-12-13T02:02:33Z security vulnerability https://b.hatena.ne.jp/Kwappa/20211213#bookmark-4712417233400622050 業界激震のアレについてです（手元のやつはセーフだった） 2021-12-13T01:47:36Z https://b.hatena.ne.jp/hayacaw/20211213#bookmark-4712417233400622050 2021-12-13T00:27:17Z https://b.hatena.ne.jp/masarizm/20211213#bookmark-4712417233400622050 log4j 2021-12-12T23:49:22Z セキュリティ log4j https://b.hatena.ne.jp/Hiro_Matsuno/20211213#bookmark-4712417233400622050 2021-12-12T21:19:31Z https://b.hatena.ne.jp/the_door_into_summer/20211213#bookmark-4712417233400622050 2021-12-12T17:59:34Z https://b.hatena.ne.jp/kuyo/20211213#bookmark-4712417233400622050 2021-12-12T15:17:47Z あとで読む https://b.hatena.ne.jp/Cetus/20211212#bookmark-4712417233400622050 2021-12-12T14:27:39Z https://b.hatena.ne.jp/rokujyouhitoma/20211212#bookmark-4712417233400622050 2021-12-12T08:17:32Z SpringBoot Security https://b.hatena.ne.jp/drk7jp/20211212#bookmark-4712417233400622050 2021-12-12T06:40:25Z https://b.hatena.ne.jp/ant_mugi/20211212#bookmark-4712417233400622050 2021-12-12T06:15:41Z あとで読む https://b.hatena.ne.jp/ootakik/20211212#bookmark-4712417233400622050 2021-12-12T05:49:59Z https://b.hatena.ne.jp/diveintounlimit/20211212#bookmark-4712417233400622050 2021-12-12T05:46:25Z https://b.hatena.ne.jp/daisuk-com/20211212#bookmark-4712417233400622050 2021-12-12T05:40:03Z あとで読む https://b.hatena.ne.jp/Nagise/20211212#bookmark-4712417233400622050 2021-12-12T05:06:43Z https://b.hatena.ne.jp/ButterflyFish/20211212#bookmark-4712417233400622050 2021-12-12T05:05:36Z springboot java security https://b.hatena.ne.jp/tankdesant/20211212#bookmark-4712417233400622050 2021-12-12T04:52:55Z あとで読む https://b.hatena.ne.jp/osakana110/20211212#bookmark-4712417233400622050 2021-12-12T04:11:22Z https://b.hatena.ne.jp/oOoOD/20211212#bookmark-4712417233400622050 2021-12-12T04:09:36Z https://b.hatena.ne.jp/yasuhiro1212/20211212#bookmark-4712417233400622050 2021-12-12T04:07:38Z あとで読む https://b.hatena.ne.jp/tyage/20211212#bookmark-4712417233400622050 2021-12-12T04:06:55Z https://b.hatena.ne.jp/fk_2000/20211212#bookmark-4712417233400622050 2021-12-12T03:55:12Z https://b.hatena.ne.jp/betabassist/20211212#bookmark-4712417233400622050 2021-12-12T03:10:51Z https://b.hatena.ne.jp/kaneko_hk/20211212#bookmark-4712417233400622050 ここまで様々なパターン考えて実機検証しなければいけないものなのかなぁ？ ウチは「弊社環境は直接インターネットに出ていけない閉域網なので問題ないです」って報告だけで済ませたけど。 2021-12-12T03:09:39Z https://b.hatena.ne.jp/hidekiisobe9/20211212#bookmark-4712417233400622050 2021-12-12T03:07:28Z https://b.hatena.ne.jp/drumsco/20211212#bookmark-4712417233400622050 2021-12-12T02:43:41Z security Java logging vulnerability https://b.hatena.ne.jp/odakaho/20211212#bookmark-4712417233400622050 うちもっと古いわ “spring-boot-starter-logging:2.2.13.RELEASE” “SpringBootのバージョンがやけに古い” 2021-12-12T01:47:23Z https://b.hatena.ne.jp/s1hit77/20211212#bookmark-4712417233400622050 2021-12-12T01:45:24Z https://b.hatena.ne.jp/superblueplanet/20211212#bookmark-4712417233400622050 2021-12-12T01:29:18Z https://b.hatena.ne.jp/akira_108/20211212#bookmark-4712417233400622050 2021-12-12T01:20:38Z https://b.hatena.ne.jp/yk5656/20211212#bookmark-4712417233400622050 2021-12-12T01:02:44Z セキュリティ https://b.hatena.ne.jp/uxoru/20211212#bookmark-4712417233400622050 2021-12-12T00:46:36Z https://b.hatena.ne.jp/nsdtks/20211212#bookmark-4712417233400622050 2021-12-12T00:33:24Z https://b.hatena.ne.jp/knjname/20211212#bookmark-4712417233400622050 2021-12-12T00:04:16Z https://b.hatena.ne.jp/cl-gaku/20211212#bookmark-4712417233400622050 2021-12-11T23:48:17Z あとで読む https://b.hatena.ne.jp/morucy/20211212#bookmark-4712417233400622050 2021-12-11T23:45:28Z https://b.hatena.ne.jp/rxh/20211212#bookmark-4712417233400622050 2021-12-11T23:40:17Z security https://b.hatena.ne.jp/ikioiamatte/20211212#bookmark-4712417233400622050 2021-12-11T23:30:15Z https://b.hatena.ne.jp/hanhuri/20211212#bookmark-4712417233400622050 2021-12-11T23:28:27Z https://b.hatena.ne.jp/S0R5/20211212#bookmark-4712417233400622050 2021-12-11T23:25:57Z セキュリティ security https://b.hatena.ne.jp/mathtonica/20211212#bookmark-4712417233400622050 2021-12-11T23:14:33Z https://b.hatena.ne.jp/segatreasurekemkosnkyumekoubou/20211212#bookmark-4712417233400622050 2021-12-11T23:05:12Z あとで読む https://b.hatena.ne.jp/estragon/20211212#bookmark-4712417233400622050 大騒ぎになってるけど、log4j2はどのくらい使われてるのかしら。マインクラフトが話題になったけど、Apache製品はみんな影響受けるとして、他にどんな製品が影響受けるのかリスト欲しいわ 2021-12-11T22:31:10Z log4j https://b.hatena.ne.jp/mstk_knife/20211212#bookmark-4712417233400622050 2021-12-11T22:23:45Z あとで読む https://b.hatena.ne.jp/putcut/20211212#bookmark-4712417233400622050 2021-12-11T22:21:47Z https://b.hatena.ne.jp/fa11enprince/20211212#bookmark-4712417233400622050 2021-12-11T22:08:54Z あとで読む https://b.hatena.ne.jp/honeybe/20211212#bookmark-4712417233400622050 2021-12-11T22:04:04Z https://b.hatena.ne.jp/masaru_b_cl/20211212#bookmark-4712417233400622050 検証お疲れ様でした！ 2021-12-11T21:50:35Z https://b.hatena.ne.jp/joltkun/20211212#bookmark-4712417233400622050 2021-12-11T21:28:15Z java セキュリティ https://b.hatena.ne.jp/peketamin/20211212#bookmark-4712417233400622050 2021-12-11T21:21:16Z https://b.hatena.ne.jp/nemuzuka/20211212#bookmark-4712417233400622050 2021-12-11T20:39:31Z https://b.hatena.ne.jp/sato-shi/20211212#bookmark-4712417233400622050 2021-12-11T17:42:10Z https://b.hatena.ne.jp/whitz/20211212#bookmark-4712417233400622050 2021-12-11T17:08:44Z あとで読む https://b.hatena.ne.jp/zu2/20211212#bookmark-4712417233400622050 “結果として、大きな影響はなさそうであるものの、昨今のアプリケーションはたくさんの依存を持っており、「問題がないことを証明する」ことが非常に難しくなってきていると感じました” 2021-12-11T16:47:23Z https://b.hatena.ne.jp/gowithyou/20211212#bookmark-4712417233400622050 アプリケーションサーバが無制限にアウトバウンド通信を許容してなければJNDI通信出来ないから、たとえこの脆弱性(JNDIインジェクション)をつかれても、問題が発生することもないけどな。 2021-12-11T16:24:59Z https://b.hatena.ne.jp/inabajunmr/20211212#bookmark-4712417233400622050 2021-12-11T15:50:52Z https://b.hatena.ne.jp/kuzumimizuku/20211212#bookmark-4712417233400622050 log4j2に依存してる箇所があった場合に、それが影響のある範囲の依存なのかどうか、把握も検証も難しいし、影響がなかったとしても納得してもらえる説明をするのも難しい(；´Д｀)ので参考になる 2021-12-11T15:31:35Z https://b.hatena.ne.jp/yoshis1210/20211212#bookmark-4712417233400622050 2021-12-11T15:27:13Z https://b.hatena.ne.jp/gombomb/20211212#bookmark-4712417233400622050 2021-12-11T15:05:54Z セキュリティ 開発 spring java https://b.hatena.ne.jp/sanko0408/20211212#bookmark-4712417233400622050 2021-12-11T15:05:03Z https://b.hatena.ne.jp/com4dc/20211211#bookmark-4712417233400622050 一応アプリ側も色々検証してました記録 2021-12-11T14:35:24Z https://b.hatena.ne.jp/atm_09_td/20211211#bookmark-4712417233400622050 2021-12-11T14:28:30Z セキュリティ