ページ 1 ／ 1
Log4j対策
Posted: 2021年12月11日(土) 22:08
by UT-X
先日発覚したLog4jの脆弱性を対策するにあたって、クライアント側とサーバー側がやるべきことをまとめました。
参考文献：
Important Message: Security vulnerability in Java Edition | Minecraft
クライアント
- バニラクライアントかつ公式ランチャーの場合:
起動中のすべてのMinecraftJEおよびランチャーを閉じ、ランチャーを再起動すると自動でパッチがダウンロード・適用されます。
- バニラ以外のクライアント(ForgeやFablicなど)または非公式ランチャーの場合:
そのクライアント/ランチャーの開発者の指示に従ってください。
開発者側からこの脆弱性への対策が発表されていない場合は、対策を要請するかあきらめてください。
サーバー
- 1.18.1以降: 対策不要です。
- 1.18.0:
1.18.1に更新してください。できないならば、1.17.xと同じようにしてください。
- 1.17.x:
起動時のコマンドライン(JVM引数)に下の一文を追加してください。
-Dlog4j2.formatMsgNoLookups=true
- 1.12.x～1.16.x:
こちらから対策用ファイルをダウンロードしてサーバーと同じ場所に配置し、JVM引数に下の一文を追加してください。
-Dlog4j.configurationFile=log4j2_112-116.xml
- 1.7.x～1.11.x:
こちらから対策用ファイルをダウンロードしてサーバーと同じ場所に配置し、JVM引数に下の一文を追加してください。
-Dlog4j.configurationFile=log4j2_17-111.xml
- 1.6.xまで: 対策不要です。
Bedrock EditionではLog4jは使用されていないため、対策不要です。
Re: Log4j対策
Posted: 2021年12月13日(月) 00:08
by yamagami2211
【重要なお知らせ】JAVA 版 MINECRAFT にセキュリティ上の脆弱性
https://www.minecraft.net/ja-jp/article ... edition-jp
一部のクライアントは情報が公開されているようです。
他にも見つければ追加します。
- Optifine
公式ランチャーを利用している場合、修正されたものがダウンロードされます。
- Forge
以下のバージョン以降は修正されています。
- 1.18 - 38.0.17
- 1.17.1 - 37.1.1
- 1.16.5 - 36.2.20
- 1.15.2 - 36.2.20
- 1.14.4 - 28.2.25
- 1.13.2 - 25.0.222
- 1.12.2 - 2-14.23.5.2857
- Spigot
以下のバージョンにパッチが適応されています。
BuildToolsでビルドすることで取得できます。
java -jar BuildTools.jar --rev 1.12.2など。
- 1.8.8（BuildTools rev 582-a）
- 1.9.4（BuildTools rev 849-a）
- 1.10.2（BuildTools rev 986-a）
- 1.11.2（BuildTools rev 1251-a）
- 1.12.2（BuildTools rev 1573-k）
- 1.13.2（BuildTools rev 2148-d）
- 1.14.4（BuildTools rev 2502-c）
- 1.15.2（BuildTools rev 2703-a）
- 1.16.5（BuildTools rev 3096-a）
- 1.17.1（BuildTools rev 3284-a）
- 1.18（12月10日以降のすべてのバージョン）
- 1.18.1（すべてのバージョン）
- BungeeCord
BungeeCordは影響を受けません。
- Paper
以下のバージョン以降は修正されています。
- 1.16.5 - #792
- 1.17 - #399
- 1.18 - #66
- Waterfall
#468 は修正されています。
- Velocity
#98 は修正されています。
- Optifine
While using the latest version of the official Minecraft launcher, all profiles (including OptiFine) on versions 1.12+ are protected from the log4j exploit.
Google訳)
公式のMinecraftランチャーの最新バージョンを使用している間、バージョン1.12 +のすべてのプロファイル（OptiFineを含む）はlog4jエクスプロイトから保護されます。
@OptiFineHelp
- Forge
ATTENTION EVERYONE
We have released hotfixes for all the forge versions where this was possible. We have bumped log4j to 2.15, and disabled the lookup feature via the config xml.
UPDATE NOW!
Don't delay it. Don't start the game. Don't run a server.
Not until you have updated.
Google訳)
みんなに注意
これが可能なすべてのForgeバージョンのホットフィックスをリリースしました。 log4jを2.15にバンプし、configxmlを介してルックアップ機能を無効にしました。
今すぐアップデート！
それを遅らせないでください。ゲームを開始しないでください。サーバーを実行しないでください。
更新するまでは。
@gigaherz
GOOD VERSIONS
- 1.18-38.0.17
- 1.17.1-37.1.1
- 1.16.5-36.2.20
- 1.15.2-31.2.56
- 1.14.4-28.2.25
- 1.13.2-25.0.222
- 1.12.2-14.23.5.2857
Older version hotfixes are not currently planned, but alternative solutions are being considered.
Google訳)
-1.18-38.0.17
-1.17.1-37.1.1
-1.16.5-36.2.20
-1.15.2-31.2.56
-1.14.4-28.2.25
-1.13.2-25.0.222
-1.12.2-14.23.5.2857
古いバージョンの修正プログラムは現在計画されていませんが、代替ソリューションが検討されています。
@gigaherz
ADDENDUM: We believe 1.7-1.11 client installs may automatically get the vanilla mitigation applied. However we don't have a "definitely safe" assurance to give yet.
Meanwhile, you may want to use MultiMC, which loads the game with a patched log4j instead of the original.
Google訳)
補遺：1.7-1.11クライアントのインストールにより、バニラ緩和が自動的に適用される可能性があると考えています。ただし、「確実に安全な」保証はまだありません。
一方、オリジナルの代わりにパッチを適用したlog4jを使用してゲームをロードするMultiMCを使用することをお勧めします。
@gigaherz
サーバー
- Spigot
Hi All
We have just pushed some out of schedule security releases for Spigot. These releases work around a security issue in log4j2, the logging library used by Minecraft.
BungeeCord is unaffected.
The following versions have been patched:
- 1.8.8 (BuildTools rev 582-a)
- 1.9.4 (BuildTools rev 849-a)
- 1.10.2 (BuildTools rev 986-a)
- 1.11.2 (BuildTools rev 1251-a)
- 1.12.2 (BuildTools rev 1573-k)
- 1.13.2 (BuildTools rev 2148-d)
- 1.14.4 (BuildTools rev 2502-c)
- 1.15.2 (BuildTools rev 2703-a)
- 1.16.5 (BuildTools rev 3096-a)
- 1.17.1 (BuildTools rev 3284-a)
- 1.18 (all future versions)
- 1.18.1 (all versions)
You can obtain a patched server jar by re-running
BuildTools with the appropriate revision, eg,
java -jar BuildTools.jar --rev 1.12.2.
Google訳)
こんにちは、みんな
Spigotのスケジュール外のセキュリティリリースをプッシュしました。 これらのリリースは、Minecraftで使用されるロギングライブラリであるlog4j2のセキュリティ問題を回避します。
BungeeCordは影響を受けません。
次のバージョンにパッチが適用されています。
- 1.8.8（BuildTools rev 582-a）
- 1.9.4（BuildTools rev 849-a）
- 1.10.2（BuildTools rev 986-a）
- 1.11.2（BuildTools rev 1251-a）
- 1.12.2（BuildTools rev 1573-k）
- 1.13.2（BuildTools rev 2148-d）
- 1.14.4（BuildTools rev 2502-c）
- 1.15.2（BuildTools rev 2703-a）
- 1.16.5（BuildTools rev 3096-a）
- 1.17.1（BuildTools rev 3284-a）
- 1.18（将来のすべてのバージョン）
- 1.18.1（すべてのバージョン）
パッチが適用されたサーバーjarを取得するには、適切なリビジョン（
java -jar BuildTools.jar --rev 1.12.2など）を指定して
BuildToolsを再実行します。
Spigot Security Releases — 1.8.8–1.18 | SpigotMC
- Paper
特に1.7.10について Re: Log4j対策
Posted: 2022年4月28日(木) 03:34
by frou01
パッチ等が降ってこなかった1.7.10ではありますが、ログ設定側で対策がされているようです。
つまるところ、サーバーとやってることは同じですね。
この設定はForgeにも適用されているはずですので、まず心配することは無い、というのが私の結論です。
またサーバー側であれば、spigot・bukkit系のMohistというところは1.7.10についてもライブラリ変更までやってくれているようです。