Ох, какая красота: в Log4j нашли уязвимость.

Нет, не так. Правильно так: в утилите Log4j, использующейся в тысячах приложений и сервисов, включая iCloud, Steam и Minecraft, нашли уязвимость, позволяющую атакующему выполнять произвольный код на стороне сервера.

То есть, примерно половина интернета, от игровых сервисов до банков, внезапно оказалась под угрозой легко выполнимой атаки самого неприятного вида.

Справедливости ради — уязвимая фича отключена в Log4j 2.15.0. Вот только эта версия на настоящий момент даже ещё официально не вышла — вчера вечером выпустили её RC2, релиз же, скорее всего, состоится на следующей неделе.

Во всех остальных версиях Log4j 2.x надо бежать, теряя тапки, и ставить в настройках «log4j2.formatMsgNoLookups» в «true».

Самое то развлечение для сисадминов всего мира в пятницу вечером.