Log4j対策

Java Edition向けの雑談はこちらへ
アバター
UT-X
ID: HARQETYU7Z
記事: 142
登録日時: 2019年8月06日(火) 01:50
Minecraft ID: UTX1948

Log4j対策

投稿記事 by UT-X » 2021年12月11日(土) 22:08

先日発覚したLog4jの脆弱性を対策するにあたって、クライアント側とサーバー側がやるべきことをまとめました。
参考文献:Important Message: Security vulnerability in Java Edition | Minecraft

クライアント
  • バニラクライアントかつ公式ランチャーの場合:
    起動中のすべてのMinecraftJEおよびランチャーを閉じ、ランチャーを再起動すると自動でパッチがダウンロード・適用されます。
  • バニラ以外のクライアント(ForgeやFablicなど)または非公式ランチャーの場合:
    そのクライアント/ランチャーの開発者の指示に従ってください。
    開発者側からこの脆弱性への対策が発表されていない場合は、対策を要請するかあきらめてください。
サーバー
  • 1.18.1以降: 対策不要です。
  • 1.18.0:
    1.18.1に更新してください。できないならば、1.17.xと同じようにしてください。
  • 1.17.x:
    起動時のコマンドライン(JVM引数)に下の一文を追加してください。
    -Dlog4j2.formatMsgNoLookups=true
  • 1.12.x~1.16.x:
    こちらから対策用ファイルをダウンロードしてサーバーと同じ場所に配置し、JVM引数に下の一文を追加してください。
    -Dlog4j.configurationFile=log4j2_112-116.xml
  • 1.7.x~1.11.x:
    こちらから対策用ファイルをダウンロードしてサーバーと同じ場所に配置し、JVM引数に下の一文を追加してください。
    -Dlog4j.configurationFile=log4j2_17-111.xml
  • 1.6.xまで: 対策不要です。
Bedrock EditionではLog4jは使用されていないため、対策不要です。
2
2 画像


主にBedrock Editionの最新バージョンで活動中。
Java Editionは過去にやっていましたが現在は離れています。

旧フォーラムに存在したマイクラのブロックとかのスマイリーが欲しいが、
ブロックの数が膨大になった今ではもはや無理か…?

アバター
yamagami2211
ID: 44003AWZ5U
記事: 50
登録日時: 2020年3月30日(月) 22:03
お住まい: ユーゴスラビア
Minecraft ID: yamagami2211
いいねされた回数: 8回
連絡する:

Re: Log4j対策

投稿記事 by yamagami2211 » 2021年12月13日(月) 00:08

【重要なお知らせ】JAVA 版 MINECRAFT にセキュリティ上の脆弱性
https://www.minecraft.net/ja-jp/article ... edition-jp

一部のクライアントは情報が公開されているようです。
他にも見つければ追加します。
要約 : 長々と見たくない人向け
Show
  • Optifine
    公式ランチャーを利用している場合、修正されたものがダウンロードされます。
  • Forge
    以下のバージョン以降は修正されています。
    • 1.18 - 38.0.17
    • 1.17.1 - 37.1.1
    • 1.16.5 - 36.2.20
    • 1.15.2 - 36.2.20
    • 1.14.4 - 28.2.25
    • 1.13.2 - 25.0.222
    • 1.12.2 - 2-14.23.5.2857
  • Spigot
    以下のバージョンにパッチが適応されています。
    BuildToolsでビルドすることで取得できます。
    java -jar BuildTools.jar --rev 1.12.2など。
    • 1.8.8(BuildTools rev 582-a)
    • 1.9.4(BuildTools rev 849-a)
    • 1.10.2(BuildTools rev 986-a)
    • 1.11.2(BuildTools rev 1251-a)
    • 1.12.2(BuildTools rev 1573-k)
    • 1.13.2(BuildTools rev 2148-d)
    • 1.14.4(BuildTools rev 2502-c)
    • 1.15.2(BuildTools rev 2703-a)
    • 1.16.5(BuildTools rev 3096-a)
    • 1.17.1(BuildTools rev 3284-a)
    • 1.18(12月10日以降のすべてのバージョン)
    • 1.18.1(すべてのバージョン)
  • BungeeCord
    BungeeCordは影響を受けません。
  • Paper
    以下のバージョン以降は修正されています。
    • 1.16.5 - #792
    • 1.17 - #399
    • 1.18 - #66
  • Waterfall
    #468 は修正されています。
  • Velocity
    #98 は修正されています。
クライアント
  • Optifine
    While using the latest version of the official Minecraft launcher, all profiles (including OptiFine) on versions 1.12+ are protected from the log4j exploit.
    Google訳)
    公式のMinecraftランチャーの最新バージョンを使用している間、バージョン1.12 +のすべてのプロファイル(OptiFineを含む)はlog4jエクスプロイトから保護されます。
    @OptiFineHelp
  • Forge
    ATTENTION EVERYONE
    We have released hotfixes for all the forge versions where this was possible. We have bumped log4j to 2.15, and disabled the lookup feature via the config xml.
    UPDATE NOW!
    Don't delay it. Don't start the game. Don't run a server.
    Not until you have updated.
    Google訳)
    みんなに注意
    これが可能なすべてのForgeバージョンのホットフィックスをリリースしました。 log4jを2.15にバンプし、configxmlを介してルックアップ機能を無効にしました。
    今すぐアップデート!
    それを遅らせないでください。ゲームを開始しないでください。サーバーを実行しないでください。
    更新するまでは。
    @gigaherz
    GOOD VERSIONS
    - 1.18-38.0.17
    - 1.17.1-37.1.1
    - 1.16.5-36.2.20
    - 1.15.2-31.2.56
    - 1.14.4-28.2.25
    - 1.13.2-25.0.222
    - 1.12.2-14.23.5.2857
    Older version hotfixes are not currently planned, but alternative solutions are being considered.
    Google訳)
    -1.18-38.0.17
    -1.17.1-37.1.1
    -1.16.5-36.2.20
    -1.15.2-31.2.56
    -1.14.4-28.2.25
    -1.13.2-25.0.222
    -1.12.2-14.23.5.2857
    古いバージョンの修正プログラムは現在計画されていませんが、代替ソリューションが検討されています。
    @gigaherz
    ADDENDUM: We believe 1.7-1.11 client installs may automatically get the vanilla mitigation applied. However we don't have a "definitely safe" assurance to give yet.
    Meanwhile, you may want to use MultiMC, which loads the game with a patched log4j instead of the original.
    Google訳)
    補遺:1.7-1.11クライアントのインストールにより、バニラ緩和が自動的に適用される可能性があると考えています。ただし、「確実に安全な」保証はまだありません。
    一方、オリジナルの代わりにパッチを適用したlog4jを使用してゲームをロードするMultiMCを使用することをお勧めします。
    @gigaherz
サーバー
  • Spigot
    Hi All

    We have just pushed some out of schedule security releases for Spigot. These releases work around a security issue in log4j2, the logging library used by Minecraft. BungeeCord is unaffected.

    The following versions have been patched:
    • 1.8.8 (BuildTools rev 582-a)
    • 1.9.4 (BuildTools rev 849-a)
    • 1.10.2 (BuildTools rev 986-a)
    • 1.11.2 (BuildTools rev 1251-a)
    • 1.12.2 (BuildTools rev 1573-k)
    • 1.13.2 (BuildTools rev 2148-d)
    • 1.14.4 (BuildTools rev 2502-c)
    • 1.15.2 (BuildTools rev 2703-a)
    • 1.16.5 (BuildTools rev 3096-a)
    • 1.17.1 (BuildTools rev 3284-a)
    • 1.18 (all future versions)
    • 1.18.1 (all versions)
    You can obtain a patched server jar by re-running BuildTools with the appropriate revision, eg, java -jar BuildTools.jar --rev 1.12.2.

    Google訳)
    こんにちは、みんな

    Spigotのスケジュール外のセキュリティリリースをプッシュしました。 これらのリリースは、Minecraftで使用されるロギングライブラリであるlog4j2のセキュリティ問題を回避します。 BungeeCordは影響を受けません。

    次のバージョンにパッチが適用されています。
    • 1.8.8(BuildTools rev 582-a)
    • 1.9.4(BuildTools rev 849-a)
    • 1.10.2(BuildTools rev 986-a)
    • 1.11.2(BuildTools rev 1251-a)
    • 1.12.2(BuildTools rev 1573-k)
    • 1.13.2(BuildTools rev 2148-d)
    • 1.14.4(BuildTools rev 2502-c)
    • 1.15.2(BuildTools rev 2703-a)
    • 1.16.5(BuildTools rev 3096-a)
    • 1.17.1(BuildTools rev 3284-a)
    • 1.18(将来のすべてのバージョン)
    • 1.18.1(すべてのバージョン)
    パッチが適用されたサーバーjarを取得するには、適切なリビジョン(java -jar BuildTools.jar --rev 1.12.2など)を指定してBuildToolsを再実行します。

    Spigot Security Releases — 1.8.8–1.18 | SpigotMC
  • Paper
    A recently found exploit is already being abused. Depending on your server version this exploit is severe.
    We have released a fix for Paper 1.17, Paper 1.18, Waterfall and Velocity. Please update your servers ASAP.

    Fixed versions:
    Paper 1.16.5 #792 or higher: https://papermc.io/legacy
    Paper 1.17 #399 or higher: https://papermc.io/downloads#Paper-1.17
    Paper 1.18 #66 or higher: https://papermc.io/downloads#Paper-1.18
    Waterfall #468 or higher: https://papermc.io/downloads#Waterfall
    Velocity 3.1.1 #98 or higher: https://papermc.io/downloads#Velocity

    For more information see this twitter thread by slicedlime: https://twitter.com/slicedlime/status/1 ... 3527017483. You can also find more information and potential mitigations for older versions pinned in paper-help
    Google訳)
    最近発見されたエクスプロイトはすでに悪用されています。 サーバーのバージョンによっては、このエクスプロイトは深刻です。
    Paper 1.17、Paper 1.18、Waterfall andVelocityの修正をリリースしました。 サーバーをできるだけ早く更新してください。

    修正バージョン:
    Paper 1.16.5#792以降:https://papermc.io/legacy
    Paper 1.17#399以降:https://papermc.io/downloads#Paper-1.17
    Paper 1.18#66以降:https://papermc.io/downloads#Paper-1.18
    ウォーターフォール#468以降:https://papermc.io/downloads#Waterfall
    Velocity 3.1.1#98以降:https://papermc.io/downloads#Velocity

    詳細については、slicedlimeによるこのTwitterスレッドを参照してください: https://twitter.com/slicedlime/status/1 ... 3527017483。 また、紙のヘルプに固定された古いバージョンの詳細情報と潜在的な緩和策を見つけることができます

    Discord/papermc | メッセージリンク
0

frou01
ID: 5DG1OQ0VB8
記事: 70
登録日時: 2019年7月03日(水) 19:16
Minecraft ID: frou01
いいね: 1回
いいねされた回数: 9回

特に1.7.10について Re: Log4j対策

投稿記事 by frou01 » 2022年4月28日(木) 03:34

 パッチ等が降ってこなかった1.7.10ではありますが、ログ設定側で対策がされているようです。
 つまるところ、サーバーとやってることは同じですね。

 この設定はForgeにも適用されているはずですので、まず心配することは無い、というのが私の結論です。
 
 またサーバー側であれば、spigot・bukkit系のMohistというところは1.7.10についてもライブラリ変更までやってくれているようです。
0
HMG:EX,GVC:HDどうです?ゲリラのニューモデルです。鬼畜でしょう?んああ仰らないで。全く外歩けない程弾が飛び交ってます。でも弱体化なんてネタは減るし、楽しさも無くなってろくな事はない。(HMGのパックを入れれば)バリエーションもたっぷりありますよ、どんな鬼畜好きの方でも大丈夫。どうぞ入れてみて下さい、いい銃声でしょう。余裕の弾幕だ、発射レートが違いますよ
twitter:Lt.frou01@frou_0

返信する