Popüler Java günlük kaydı kitaplığı Log4j 2'de, saldırganların keyfi olarak kod yürütmesine (uzaktan kod yürütme) izin verebilecek bir güvenlik açığı keşfedilmiştir.
Apache Log4j 2, Elasticsearch dahil olmak üzere birçok Java uygulamasıyla birlikte geliyor ve kullanılıyor.
XenForo'nun kendisi doğrudan saldırıya açık değil ve XenForo ekibi şu anda Enhanced Search'ün bir vektör olarak kullanılıp kullanılamayacağını araştırıyor, ancak bu açık potansiyel olarak yeterince önemli olduğundan çok dikkatli olunması gerek.
Güvenlik açığı hakkında daha fazla bilgiyi buradan edinebilirsiniz:
NVD - CVE-2021-44228
Sorunun nasıl çözüleceğine ve etkilenip etkilenmediğinize ilişkin ayrıntılar şaşırtıcı derecede karmaşıktır ve Log4j kullanan başka bir yazılımınız varsa, geçici çözümler ve dikkate alınması gereken noktalar muhtemelen farklı olacaktır. Aşağıdakiler öncelikli olarak çoğunlukla Elasticsearch ile ilgilidir.
Ardından, bu değişikliğin etkili olması için elasticsearch sunucu hizmetini yeniden başlatmanız gerek.
Elasticsearch 5.0-6.3 sürümünü kullanıyorsanız, Log4j'nin daha eski bir sürümünü içerebilir ki bu da yukarıdaki geçici çözümün işe yaramayacağı anlamına gelir. Daha yeni bir sürüme yükseltme, eski sürümlerin ihtiyaçlarını karşılamak için diğer geçici çözümlerden daha fazla tercih edilebilir. XenForo Enhanced Search, Elasticsearch'ün en son sürümlerini destekler.
Sorunu tamamen azaltacak bir şey olmasa da, Java JDK'nın güncel olduğundan ve doğru şekilde yapılandırıldığından emin olmanızı da öneririz.
Lütfen bu konuyu e-posta bildirimlerini etkinleştirerek izleyin. XenForo ekiibi, daha fazla bilgisi olduğunda konudaki yeni gönderilere ekleyecek.
Apache Log4j 2, Elasticsearch dahil olmak üzere birçok Java uygulamasıyla birlikte geliyor ve kullanılıyor.
XenForo'nun kendisi doğrudan saldırıya açık değil ve XenForo ekibi şu anda Enhanced Search'ün bir vektör olarak kullanılıp kullanılamayacağını araştırıyor, ancak bu açık potansiyel olarak yeterince önemli olduğundan çok dikkatli olunması gerek.
Güvenlik açığı hakkında daha fazla bilgiyi buradan edinebilirsiniz:
NVD - CVE-2021-44228
Sorunun nasıl çözüleceğine ve etkilenip etkilenmediğinize ilişkin ayrıntılar şaşırtıcı derecede karmaşıktır ve Log4j kullanan başka bir yazılımınız varsa, geçici çözümler ve dikkate alınması gereken noktalar muhtemelen farklı olacaktır. Aşağıdakiler öncelikli olarak çoğunlukla Elasticsearch ile ilgilidir.
Elasticsearch 6.4 ve üzeri için geçici çözüm
/etc/elasticsearch/jvm.options dosyası aracılığıyla Log4j'nin davranışını kontrol edebilirsiniz. Özellikle, mevcut öneri, bu dosyanın sonuna aşağıdaki satırı eklemektir:
Kod:
-Dlog4j2.formatMsgNoLookups=trueArdından, bu değişikliğin etkili olması için elasticsearch sunucu hizmetini yeniden başlatmanız gerek.
Elasticsearch 5.0-6.3 sürümünü kullanıyorsanız lütfen güncelleyin
Elasticsearch 5.0-6.3 sürümünü kullanıyorsanız, Log4j'nin daha eski bir sürümünü içerebilir ki bu da yukarıdaki geçici çözümün işe yaramayacağı anlamına gelir. Daha yeni bir sürüme yükseltme, eski sürümlerin ihtiyaçlarını karşılamak için diğer geçici çözümlerden daha fazla tercih edilebilir. XenForo Enhanced Search, Elasticsearch'ün en son sürümlerini destekler.
Sorunu tamamen azaltacak bir şey olmasa da, Java JDK'nın güncel olduğundan ve doğru şekilde yapılandırıldığından emin olmanızı da öneririz.
Lütfen bu konuyu e-posta bildirimlerini etkinleştirerek izleyin. XenForo ekiibi, daha fazla bilgisi olduğunda konudaki yeni gönderilere ekleyecek.
