Так всё-таки, есть ли фикс для PaperSpigot 1.12.2?

Так всё-таки, есть ли фикс для PaperSpigot 1.12.2?
Есть ли какие-нибудь Java-aргументы? Боюсь, мой сервер не потянет Paper 1.17

 

Есть фикс в виде отдельного файла. В виде аргумента. На новых версиях также пофиксили вроде как

 

А знаешь что? Я изучая эту тему сам не знаю до сих пор! Говорят, что на данный момент сервера могут жить отчасти спокойно.

Я посоветую тебе следующее:

1) Скачай этот форк пейпера:
https://github.com/nopjmp/Dionysus
Там используется самая новая log4j2
2) Используй в запускаторе флаги из моей статьи:
-Dlog4j2.formatMsgNoLookups=true
-Dcom.sun.jndi.ldap.object.trustURLCodebase=false
3) Используй ласт версию жабы на своём вдс/дедике
apt install openjdk-11-jre (для 1.12.2 - 11 лучшая)
4) Используй этот плагин:
https://github.com/FrankHeijden/Log4jFix

Обезопасишься на 99%. Только юзай вообще всё что я тут описал, а то хрен его знает откуда еще этот log4j может вылезти

В сущности я описал это в своей статье по защите сервера и если вдруг будет новая инфа - я обазательно добавлю её туда

 

Печально

 

Да руками уже пропатчите классы и будет вам счастье

 

Не дружим с мавеном

 

Можно без мавена. Ядро как либу и погнал

 

Та ну, заморачиваться так ради какого-то эксплоита. Фи.

 

благодарю)

 

лол, ты действительно не понимаешь, что угрожает всем серверам по миру?

 

согласен, что Java 11 для 1.12.2 лучшая

 

На деле об этом много говорят, но выполнить что то реально опасное способны лишь те, кто умеют нормально кодить.
Да и энивей если у тебя стоит плагин на банже (которая не юзает либу log4j кстати говоря) то сообщение даже до сервера не дойдет, но я перестраховался

 

:/ Понимаю. А ты сарказма не понимаешь?

 

а

 

Дело в том, что по идее либа 2.15 (которая должна быть в нынешней бумаге) уже должна фиксить этот байпас (с упором на флаги описанные выше), но сами log4j говорят, что при помощи других сочетаний символов можно задудосить сервак или еще что нить сделать.
Перестраховка не лишняя

 

так и знал)

 

Дыра есть, фиксить соответственно не будем

 

Они фиксят, обновляют регулярно, но кто б знал что там да как
Новый день - новый log4j

 

2.17 надо юзать

 

Dyonisis как раз её и юзает

(и кстати вот почему)


Но мне что-то подсказывает, что нам стоит ждать обновы 2.18 а потом 2.19 и далее далее