Совмещение %minecraftFormatting и {nolookups}

[Overwrite]

Не надо ничего декомпилить и изменять. Написал специально для этого патчер - https://github.com/tox1cozZ/log4j2-jndi-exploit-patcher

Эта хрень не работает на пейпере, пришлось из*бываться
Также после проверки через /say ${date:YYYY} оно выбило дату.
Не знаю будет ли фикс 100%, но на первый взгляд оно работает...

 

[Artmoneyse]

Не надо ничего декомпилить и изменять. Написал специально для этого патчер - https://github.com/tox1cozZ/log4j2-jndi-exploit-patcher

Вместо того чтобы скачать уже готовые библиотеки конечно проще искать классы в ядре а потом пытаться скормить их патчеру, да и не поможет он. Я же выше написал что на моем примере кидал измененные классы в ядро server.jar новых версий minecraft, потому что оно перекачивает mojang_1.17.1.jar и patched_1.17.1.jar, в которых лежат классы либы log4j.

 

[Artmoneyse]

Эта хрень не работает на пейпере, пришлось из*бываться
Также после проверки через /say ${date:YYYY} оно выбило дату.
Не знаю будет ли фикс 100%, но на первый взгляд оно работает...

вывело дату = не работает фикс

 

[Overwrite]

вывело дату = не работает фикс

Как говорили мне - вообще ни 1 штука не должна выводиться, если фикс полный.

 

[Overwrite]

Спойлер: Скриншот "до"

Посмотреть вложение 61223

Спойлер: Скриншот "после"

Посмотреть вложение 61224

1. Качаем например библиотеку версии 2.6, добавил на яндекс диск
2. Берем классы:
org.apache.logging.log4j.core.lookup.JndiLookup.class
org.apache.logging.log4j.core.lookup.Interpolator.class
3. Закидываем в server.jar
4. Костыль, но работает!

Итог попыток выудить из данного способа хоть что-то ни к чему не привёл. Paper просто перезаписывает отредаканые ядра, как я и говорил

 

[alexandrage]

Так а в чем проблема то? В бумаге уже давно фикс.

 

[MurlikMurlik]

Так а в чем проблема то? В бумаге уже давно фикс.

Ищут фикс для легаси версий (1.7-1.15), поэтому страдают

 

[alexandrage]

Ищут фикс для легаси версий (1.7-1.15), поэтому страдают

Так пусть перенесут фикс с новой версии не?

 

[Overwrite]

Так пусть перенесут фикс с новой версии не?

Не уметь

 

[Agravaine]

Эта хрень не работает на пейпере, пришлось из*бываться
Также после проверки через /say ${date:YYYY} оно выбило дату.
Не знаю будет ли фикс 100%, но на первый взгляд оно работает...

вывело дату = не работает фикс

Он не блокирует дату. Вы хотя бы в теме разберитесь, прежде чем говорить что-то. На кой фиг вырезать вообще все лукапы, если уязвимость приносит только jdni? Мда.

 

[alexandrage]

Он не блокирует дату. Вы хотя бы в теме разберитесь, прежде чем говорить что-то. На кой фиг вырезать вообще все лукапы, если уязвимость приносит только jdni? Мда.

Что бы не юзали игроки, что и логично. В бумаге все правильно сделали, полностью не работает.

 

[Agravaine]

Что бы не юзали игроки, что и логично. В бумаге все правильно сделали, полностью не работает.

Остальные никак не влияют на работу систему и полностью безопасны. Не вижу смысла в их блокировке.

 

[alexandrage]

Остальные никак не влияют на работу систему и полностью безопасны. Не вижу смысла в их блокировке.

Ну ты не видишь, другие видят. Сколько людей, столько и мнений. Проще убрать их все как сделали в бумаге.

 

[MurlikMurlik]

Остальные никак не влияют на работу систему и полностью безопасны. Не вижу смысла в их блокировке.

Остальные могут вызывать DOS атаку, поэтому вышла версия 2.16.0 которая полностью выключает вообще эту возможность по умолчанию.
https://logging.apache.org/log4j/2.x/security.html

 

[saharNooby]

Агент, который патчит JndiLookup в момент загрузки класса: https://github.com/saharNooby/log4j-vulnerability-patcher-agent

Подключать в строку запуска спигота. Работает в том числе на paperclip (обойти трансформ он не может, насколько я могу судить)

Пруф достаточности запуска агента для митигации обоих CVE: https://logging.apache.org/log4j/2.x/security.html (смотреть пункты "Otherwise, remove the JndiLookup class from the classpath: ..." в разделе митигаций обоих CVE)

${date и прочее этот агент не фиксит, для митигации указанных CVE в этом нет необходимости.

Side-note: кто юзает кастомные лаунчеры и не имеет возможности получить последние патчи от можангов (как я), можете также подключить агент к клиенту, он также пофиксит уязвимость в клиенте.

 

[Overwrite]

Агент, который патчит JndiLookup в момент загрузки класса: https://github.com/saharNooby/log4j-vulnerability-patcher-agent

Подключать в строку запуска спигота. Работает в том числе на paperclip (обойти трансформ он не может, насколько я могу судить)

Пруф достаточности запуска агента для митигации обоих CVE: https://logging.apache.org/log4j/2.x/security.html (смотреть пункты "Otherwise, remove the JndiLookup class from the classpath: ..." в разделе митигаций обоих CVE)

${date и прочее этот агент не фиксит, для митигации указанных CVE в этом нет необходимости.

Side-note: кто юзает кастомные лаунчеры и не имеет возможности получить последние патчи от можангов (как я), можете также подключить агент к клиенту, он также пофиксит уязвимость в клиенте.

Полезно!
Мне об этом патче сказали уже, я конечно всё еще сомневаюсь в нем, но юзать - юзаю.

 

[Overwrite]

Агент, который патчит JndiLookup в момент загрузки класса: https://github.com/saharNooby/log4j-vulnerability-patcher-agent

Подключать в строку запуска спигота. Работает в том числе на paperclip (обойти трансформ он не может, насколько я могу судить)

Пруф достаточности запуска агента для митигации обоих CVE: https://logging.apache.org/log4j/2.x/security.html (смотреть пункты "Otherwise, remove the JndiLookup class from the classpath: ..." в разделе митигаций обоих CVE)

${date и прочее этот агент не фиксит, для митигации указанных CVE в этом нет необходимости.

Side-note: кто юзает кастомные лаунчеры и не имеет возможности получить последние патчи от можангов (как я), можете также подключить агент к клиенту, он также пофиксит уязвимость в клиенте.

Не требует ли он обновления в связи с открытием десятка новых эксплоитов?