GitHub - cisagov/log4j-scanner: log4j-scanner is a project derived from other members of the open-source community by CISA to help organizations identify potentially vulnerable web services affected by the log4j vulnerabilities.
Configure your own DNS Server - Preferred) - Add DNS records to your domain. (example.com) A record with a value of your IP address (test.example.com -> ) NS record (ns1.example.com) with a value of the test.example.com as chosen above. Host a DNS server to log DNS requests made to your domain. Install the requirement modules -> pip3 install -r requirements.txt Modify the dns/ddnsserver.py script
Apache Log4j のためのホットパッチ | Amazon Web Services
Amazon Web Services ブログ Apache Log4j のためのホットパッチ ※この投稿は、2021年12月12日に公開された Hotpatch for Apache Log4j翻訳したものです。 CVE-2021-44228 により、広く使用されているオープンソースのロギングプラットフォームである Apache Log4j の脆弱性にパッチを適用、もしくは脆弱性の緩和のために忙しい週末を過ごされた方も多いかと思います。 影響を受けるアプリケーションを実行しているお客様は、この脆弱性に対処するために、Log4j をバージョン 2.15 にアップグレードすることをお勧めします。しかし、これは必ずしも迅速に実行できるとは限らないため、Corretto チームのメンバーは、脆弱な log4j デプロイメントをホットパッチするためのツールの構築に取り組みました。このツールは、Lo
Apache Log4j の任意のコード実行の脆弱性（CVE-2021-44228）を利用した攻撃への対応 ｜クラウド型WAF Scutum【スキュータム】
Apache Software Foundation が提供する Java ベースのログ出力ライブラリである Apache Log4j について、遠隔の攻撃者が細工したデータを送り込むことにより任意のコマンド実行が可能となる深刻な脆弱性が報告されています。 本脆弱性につきましては、2021年12月11日にJPCERT/CCより、2021年12月13日にIPAより注意喚起が発表されております。 Apache Log4jの任意のコード実行の脆弱性（CVE-2021-44228）に関する注意喚起 【2021/12/11 JPCERT/CC】 Apache Log4j の脆弱性対策について(CVE-2021-44228) 【2021/12/13 IPA】 Scutum の対応 WAF「Scutum」では、上記注意喚起に先立つ2021年12月10日時点で、本脆弱性を狙った基本的な攻撃について防御でき
広く使われているJavaライブラリ「Log4j」に深刻な脆弱性。速やかに確認と対策を
オープンソースのロギングライブラリとしてさまざまなJavaアプリケーションに使われている「Apache Log4j」に、任意のリモートコードが実行できてしまう脆弱性が発見されました（CVE - CVE-2021-44228）。 これが悪用されると、第三者が勝手にサーバを操作して悪意のあるソフトウェアを組み込んだり、悪意のある攻撃を行う際の踏み台にされるなどのさまざまな攻撃が行われます。 すでに脆弱性の存在は広く知れ渡っているため、脆弱性のあるLog4jを使っているシステムはいつでも攻撃を受ける可能性があるのです。 この脆弱性は広範囲な影響が予想されており、多くの専門家が非常に深刻な状況として捉えています。 できるだけ速やかに、JavaアプリケーションにおけるLog4jの利用の確認と対策が必要です。 Javaアプリケーションに明示的にLog4jを組み込んでいない場合も、例えばStrutsやR
Apache Log4j の脆弱性対策について(CVE-2021-44228) | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
※追記すべき情報がある場合には、その都度このページを更新する予定です 概要 Apache Log4j は、Apache Software Foundation がオープンソースで提供している Java ベースのロギングライブラリです。 この Apache Log4j において、遠隔の第三者が細工したデータを送る事で、任意のコマンドを実行される可能性があります。 本脆弱性を悪用したと思われる攻撃が観測されたとの情報があります。今後被害が拡大するおそれがあるため、至急、対策を実施してください。 2021 年 12 月 14 日 更新 本脆弱性を悪用したと思われる攻撃が国内で観測されたとの情報があります。今後被害が拡大するおそれがあるため、至急、対策を実施してください。
Log4jの深刻な脆弱性CVE-2021-44228についてまとめてみた - piyolog
2021年12月10日、Javaベースのログ出力ライブラリ「Apache Log4j」の2.x系バージョン（以降はLog4j2と記載）で確認された深刻な脆弱性を修正したバージョンが公開されました。セキュリティ関係組織では過去話題になったHeartbleedやShellshockと同レベルの脆弱性とも評価しています。ここでは関連する情報をまとめます。 １．何が起きたの？ Javaベースのログ出力ライブラリLog4j2で深刻な脆弱性（CVE-2021-44228）を修正したバージョンが公開された。その後も修正が不完全であったことなどを理由に2件の脆弱性が修正された。 広く利用されているライブラリであるため影響を受ける対象が多く存在するとみられ、攻撃が容易であることから2014年のHeartbleed、Shellshock以来の危険性があるとみる向きもあり、The Apache Software
Log4j 2にも採用されたLMAX Disruptorはなぜ狂ったように速いのか？
LMAXという会社はおそらくFX業者で、筆者はLMAXの開発者の講演を、InfoQの動画で何度か見たことがあった。 彼らは非常に特異な集団で、さしずめ「Javaのスピード狂」という感じだ。 印象的なのは、シングルスレッドで仕事を片付けることを強調している点だ。 「Javaならマルチスレッドで並列処理すれば性能が出ると広く思われているが、我々の仕事においてはシングルスレッドが最速だ」というような主張を何度も見た。 ゴールドマンサックスといいLMAXといい、やはり多額の金が動く会社でガチでJavaをやっている連中はカリカリにチューニングするため、技術的には非常に面白い。 彼らがコアのライブラリをOSS化してくれるというのは、金融業界を否定的な目で見る筆者からすると複雑だが、悔しいことに参考になる。 LMAX DisruptorはJavaのライブラリだ。Producer/Consumerパターン
やっとわかった、java.util.logging
こんばんは。先日ブログの設定をいじっていたら、全てのページ（管理画面も！）でPHPエラーが表示されてかなり気落ちしました。PHPを書くのは久しぶりだったので、どこか書き間違えたんでしょう・・・。 さて、今日はロギングの話をします。 ロギングと言えばlog4jですが、JavaSEにもロギングを扱うための標準APIがあります（1.4から）。それがjava.util.loggingです。標準APIであるにも関わらず、なぜか情報が少ないんですね。簡単なプログラムを書こうとして、ついでだから標準API使ってみるか、と思い立つも、結局設定の仕方がわからずにlog4jに戻ったことが何度かありました。 まず使ってみる まずは一番簡単な使い方から。 Logger logger = Logger.getLogger(Logger.GLOBAL_LOGGER_NAME); logger.info("Logger
Grailsのロギング実装をLog4jからLogbackに変更する - PiyoPiyoDucky
Grailsではロギング実装としてLog4jが採用されていますが、 Log4jはもう古いし後継のLogbackを使いたくなったりしますよね？ Logback Pluginを使うことでロギング実装をLog4jからLogbackに変更できます。 プラグインのページの説明通り設定すれば簡単にできるだろうと思っていたのですが、 ハマりポイントがあったのでそれも含めて書いていきます。 プラグインのインストール Logback Pluginはバイナリープラグインと呼ばれる種類のもので、 BuildConfig.groovyのpluginsブロックではなくdependenciesブロックに依存関係を書きます。 また、既存のLog4jを無効にするためにinherits('global')ブロックにも設定を追加します。 プラグインの説明のページに書いてあるのはここまでで、 これに加えてreposit
javaのロガーが多すぎて訳が解らないので整理してみました - 文系プログラマによるTIPSブログ
最初は誰しもがファッ！？となるんですよねロガーって。 いずれtree-tipsで公開しようと思っている、solrのプロジェクトを今作っています。mavenでjarを管理している訳ですが・・ なんだこのロガーの数は！！ commons-logging、log4j、slf4j-api、jcl-over-slf4j、logback-classic・・・・、こいつら一体何が違うんだ！どう使い分けるんだ！そもそも必要なのか！？となりました。 昔はcommons-logging＋log4jというのがトレンドだった訳ですが、今はslf4j＋logbackがトレンドになり、jdkも1.4から1.7になり、これらトレンドが推移する過程で、いろいろなjarが旧式に依存してしまい、旧式依存を解決するためにアダプタが登場し始め、mavenでjarを収集すると大抵両方入ってしまい、カオスになっているのです。 特にs
log4jとlogbackのパフォーマンス比較
以下のケースで実験。 logback単体 log4j単体 SLF4J + log4j SLF4J + logback 条件は以下。 CPU:Core 2 Duo T8100 2.1GHz Memory:2G PC:藤原のDellラップトップ Eclipse Ganymedeから実行 1回のテストで100万行出力。これを3回連続で実施。 ログ出力のフォーマットは同じ（文字数もそろえた） ログ出力開始から終了までの秒数を測定 ソースコードは以下のような感じ。Loggerを差し替えて実施している。 public class LogBackPerformanceSample { final static Logger logger = LoggerFactory .getLogger(LogBackPerformanceSample.class); public static void main(
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - cisagov/log4j-affected-db: A community sourced list of log4j-affected software
GitHub - silentsignal/burp-log4shell: Log4Shell scanner for Burp Suite
GitHub - tangxiaofeng7/BurpLog4j2Scan: Burpsuite extension for log4j2rce
VMSA-2021-0028.13
GitHub - christophetd/log4shell-vulnerable-app: Spring Boot web application vulnerable to Log4Shell (CVE-2021-44228).
Javaのログ出力: 道具と考え方
Easy Groovy Logger Injection and Log Guarding