変数展開シンタックス CVE-2021-44228の件でLookupにおける変数展開をどうしているのか気になったので、StrSubstitutor.substituteの辺りを読んでみた。 ${...}となっている部分のシンタックスは以下のようになっている。 ${varName} ${varName:-varDefaultV…

「Apache Log4j」にまたRCE脆弱性 ～修正版のv2.17.1などが公開 - 窓の杜 Log4j – Apache Log4j Security Vulnerabilities Apache Log4j2 versions 2.0-beta7 through 2.17.0 (excluding security fix releases 2.3.2 and 2.12.4) are vulnerable to a remot…

少し調べたのでメモ 概要 外部からの入力をlog4jでそのままログ出力しようとすると、任意のコードを実行できる脆弱性 CVE-2021-45046とv2.16.0について v2.15.0で修正されたかに見えたが、MessagePatternConverter以外の攻撃経路が見つかった。そのため、v2.…

UDPしか対応していないか。TCPやUNIXドメインソケットには対応していないか。SyslogAppenderはSyslogWriterを利用していてその中身は以下のような感じ。log4j/SyslogWriter.java at v1_2_17 · apache/log4j · GitHub package org.apache.log4j.helpers; ... …