「Log4j2の脆弱性から垣間見えたOSS開発の厳しさ」と「OSS開発者に投げ銭する文化(未来)」について by nao · 公開済み 2021年12月12日 · 更新済み 2021年12月13日 前書き:災害レベルの脆弱性 本記事は、紛うことなきポエム記事です。Log4j2の脆弱性問題を追っている間に「OSS開発の醜い部分」を目の当たりにしたので、本記事では「せめてOSS開発者が金銭的もしくは他の手段で報われればいいのに」と主張します。 2021年12月10日、Javaのロギングライブラリであるlog4j2は任意コード実行の脆弱性(CVE-2021-44228、内容は以下の引用文を参照)が見つかり、その実行方法の容易さから話題となりました。 Apache Log4jにはLookupと呼ばれる機能があり、ログとして記録された文字列から、一部の文字列を変数として置換します。その内、JNDI
![「Log4j2の脆弱性から垣間見えたOSS開発の厳しさ」と「OSS開発者に投げ銭する文化(未来)」について](https://cdn-ak-scissors.b.st-hatena.com/image/square/9b96806d757e15067ae8ee21af97b7f09ec87c79/height=288;version=1;width=512/https%3A%2F%2Fdebimate.jp%2Fwp-content%2Fuploads%2F2021%2F12%2Fdream.jpg)