log4j関連

→Java関連

→Java関連Tips

→開発支援ツール

一般†

• SLF4J 2.0のfluent logging APIでログ出力も流暢に | 豆蔵デベロッパーサイト 2023.2

• System.Loggerって知ってる？ - Javaの標準Loggerインタフェースに今更気がついた | 豆蔵デベロッパーサイト 2023.2

logback†

• Logback（＋Logstash Logback Encoder）でログ内の文字列を置換する - CLOVER🍀 2023.4

• logback日本語マニュアル 2016.12
• logbackのソース

2021年12月 Log4jRCE問題†

• 最悪の脆弱性「Log4Shell」、依然として数百万のJavaアプリに存在 | TECH+ 2022.4

• Log4Shellで何が起こっていたのかを追ってみる - SSTエンジニアブログ 2022.4
• Log4ShellのためのLDAP - SSTエンジニアブログ 2022.4

• Java Log4JShellの脆弱性についての調査内容まとめ（翻訳版） by Nairuz Abulhul - Qiita 2022.2

• Log4j 脆弱性に対する AWS セキュリティサービスを利用した保護、検知、対応 | Amazon Web Services ブログ 2021.12

• log4shell/README.md at main · NCSC-NL/log4shell · GitHub 2021.12

• Log4j – Apache Log4j Security Vulnerabilities 2021.12

• 【緊急公開資料】『Apache Log4j 脆弱性の影響緩和のために今できること』（公開日 2021.12.14） | 株式会社セキュアスカイ・テクノロジー 2021.12

• LogbackにもLog4j 2と同様のリモートコード実行の問題、ただし悪用は困難 | TECH+ 2021.12

• Log4j 脆弱性を緩和するAWS WAFの「Log4JRCE」DevelopersIOサイトの3日間の検出結果を紹介します | DevelopersIO 2021.12

• (翻訳) 続報版 - Apache Log4j2 の脆弱性 "CVE-2021-44228" に関する AWS からのアナウンス - サーバーワークスエンジニアブログ 2021.12
• CVE-2021-44228 Log4jの脆弱性のAWS環境への影響 - Qiita 2021.12

• 「Log4j」の脆弱性を突く攻撃手段の情報共有は違法？　日本ハッカー協会に聞いた - ITmedia NEWS 2021.12

• 【緊急】HeartbleedやShellshockに並ぶ最悪の脆弱性「Log4Shell」とは？ | TECH+ 2021.12

• Log4jの深刻な脆弱性CVE-2021-44228についてまとめてみた - piyolog 2021.12

• シスコ製品に影響を与えるApache Log4jライブラリの脆弱性：2021年12月 - Cisco 2021.12

• 【図解】Log4jの脆弱性 CVE-2021-44228 (Log4shell or LogJam) について | SEの道標 2021.12

• log4j 2の脆弱性（log4shell/CVE-2021-44228）について調べてみた - Qiita 2021.12
  • GitHub - tangxiaofeng7/CVE-2021-44228-Apache-Log4j-Rce: Apache Log4j 远程代码执行
  • WAFによる対策はバイパスされるという例

• WafCharm で Log4j2 の脆弱性に備えるための対応手法について - サーバーワークスエンジニアブログ 2021.12

• 脅威に関する情報: Apache Log4jに新たな脆弱性(CVE-2021-44228) 実際の悪用も確認 2021.12

• 30億のデバイスで任意コードが実行できちゃうJava - Qiita 2021.12

• Log4j2 脆弱性問題における SpringBoot アプリケーションの検証 | DevelopersIO 2021.12

• Apache Log4jの任意のコード実行の脆弱性（CVE-2021-44228）に関する注意喚起
  • JPCERTの情報

• log4jの脆弱性について 2021.12

• Log4jのLookup機能のドキュメント>Log4j – Log4j 2 Lookups
  • この中のJndi Lookupが問題を起こす

• Exploiting JNDI Injections in Java | Veracode blog 2019.3

• marshalsec/LDAPRefServer.java at master · mbechler/marshalsec · GitHub 2021.12

• https://twitter.com/knqyf263/status/1469256733105483781
  • Java 8系では8u191以降でLDAPのtrustURLCodebaseがデフォルトでfalseになっているので今のPoCでは刺さらない
  • trustURLCodebase=trueに設定していれば刺さる
  • 8u191以降であってもclasspathのガジェット次第ではバイパスして刺さる

• 「やばすぎる」　Javaライブラリ「Log4j」にゼロデイ脆弱性、任意のリモートコードを実行可能　iCloudやSteam、Minecraftなど広範囲のJava製品に影響か - ITmedia NEWS 2021.12

• Log4Shell: RCE 0-day exploit found in log4j, a popular Java logging package | LunaSec 2021.12

• マイクラもハッキング 〜「Apache Log4j」ライブラリに致命的なリモートコード実行のゼロデイ脆弱性 - やじうまの杜 - 窓の杜 2021.12

対策†

• Hotpatch for Apache Log4j | AWS Open Source Blog 2021.12
  • GitHub - corretto/hotpatch-for-apache-log4j2: An agent to hotpatch the log4j RCE from CVE-2021-44228. 2021.12

• https://twitter.com/mattn_jp/status/1470027729466978306

  log4j の件は環境変数 LOG4J_FORMAT_MSG_NO_LOOKUPS=true にするのが一番手堅いんじゃないかな。
  java コマンドのオプションを指定したとしても、実はそのシェルから起動されてなかったとか、
  java コマンドから別のプロセスが起動されてたとか、想定してないケースもあるし。

• GitHub - tangxiaofeng7/CVE-2021-44228-Apache-Log4j-Rce: Apache Log4j 远程代码执行 2021.12

• Log4jの脆弱性対策としてAWS WAFのマネージドルールに「Log4JRCE」が追加されました | DevelopersIO 2021.12 →Amazon Web Service
  • Log4jの脆弱性を緩和するAWS WAFをCloudFormationで設定してみた | DevelopersIO 2021.12

• Log4j 2.14.1の脆弱性対応

log4jのサイト†

• APIドキュメント
• http://logging.apache.org/
• log4j徹底解説
• log4j クラス図
• download site
• Chainsaw解説
  • Chainsawとはlog4jのログビューワみたいなもの

• ソースダウンロード

log4j:WARN No appenders could be found for logger†

• log4j:WARN No appenders could be found for logger
  • http://phew-hum.cocolog-nifty.com/blog/2008/01/log4j_log4jwarn.html

      1. log4j.properties or log4j.xml がクラスパスに無い。
      2. log4j.propertiesなら、log4j.category以下に存在していない
         パッケージが記述してある。

log4jの初期化†

ClassLoader loader =
Thread.currentThread().getContextClassLoader();
URL url = loader.getResource("log4j.properties");
PropertyConfigurator.configure(url);

• 参考:ルート以外のlog4j.propertiesを読み込む

log4jのログファイルが出力されない、もしくはサイズ０のまま†

• WindowsでEclipseで動かしたときは動くのにTomcatにJarをロードさせて動かすと出ない場合
• Usersグループのフォルダへの書き込み権限がなかったのをフルコントロールＯＫに してやると出力されるようになった(Windows Server 2008)
• ログファイルの所有者はAdministratorsなのにtomcat上のWebアプリはUsers権限で動いている模様。不思議だ

• 似たような問題として、パスの区切り文字を \ で与えているケース。\\にするか、/にするかどっちかする必要がある

• log4jのjarファイルを２箇所（例えばTomcatのlibフォルダと webapps 下のwarファイルの中のWEB-INF/libフォルダ）に入れていると、WebAppLoaderとstandardLoader で二重にロードしたというエラーがstdout.logに出力されてログが出力されない現象が起きる。

log4jでスタックトレースを出力†

static public void printStackTrace(Exception e){
  StringWriter sw  =new StringWriter();
    PrintWriter pw = new PrintWriter(sw);
     e.printStackTrace(pw);
     error(sw.toString());
}

最新の50件