San Log4Shell, martire del JNDI

Patrono dei sistemisti richiamati in servizio nel weekend, dei log che eseguono ciò che leggono e di chi non sapeva di avere Java in casa.

Vita

Nato in una libreria di logging che nessuno ricordava di aver installato, si manifestò al mondo il 9 dicembre 2021 in una stringa di Minecraft. Bastò scrivere il suo nome tra ${ } perché i server di mezzo pianeta lo accogliessero, lo interrogassero via LDAP e gli consegnassero le chiavi di casa.

Preghiera

O San Log4Shell, che entri da ogni campo di testo, fa' che i nostri user-agent restino stringhe e non diventino lookup. Liberaci dal JNDI e dalle dipendenze transitive. Amen.

Come si festeggia

Si festeggia aggiornando Log4j alla 2.17.1, cercando il JAR in tutti i fat-JAR del datacenter e trascorrendo il Natale a compilare l'inventario delle dipendenze.

Per San Log4j, se il JNDI è aperto, l'attaccante è già dentro.