
Correção do lado do servidor para o CVE-2021-44228 em servidores Minecraft.
Substitui a versão antiga (vulnerável - CVE-2021-44228) do Log4j2 pela mais recente (2.15.0), que contém a correção do RCE via JNDI.
Testado em Spigot 1.12.2, PaperSpigot 1.8.8, PaperSpigot 1.17.1
Isto destina-se a corrigir servidores atualmente sem suporte, como o PaperSpigot 1.8.8.
Verifique se o software do seu servidor já possui um lançamento oficial que corrija a vulnerabilidade antes de usar esta ferramenta.
Uso:
java -jar patcher.jar <old-server.jar> <fixed-server.jar>
Se você usa PaperSpigot, o arquivo "old-server.jar" deve ser o localizado em "cache/patched.jar" e não o wrapper paperclip.jar.
Após o processo terminar, você precisa substituir o jar antigo do seu servidor pelo "fixed-server.jar".
server$ java -jar patcher.jar cache/patched_1.17.1.jar server.jar
Input file : cache/patched_1.17.1.jar
Output file : server.jar
Processing original Jar file...
Adding nolookups to log4j2.xml ... Done
Adding Log4j2 2.15.0 (core+api+iostreams)...
(You can likely ignore this) : duplicate entry: META-INF/MANIFEST.MF
(You can likely ignore this) : duplicate entry: META-INF/NOTICE
(You can likely ignore this) : duplicate entry: META-INF/maven/org.apache.logging.log4j/log4j-core/pom.xml
(You can likely ignore this) : duplicate entry: META-INF/services/javax.annotation.processing.Processor
(You can likely ignore this) : duplicate entry: META-INF/LICENSE
(You can likely ignore this) : duplicate entry: META-INF/DEPENDENCIES
(You can likely ignore this) : duplicate entry: META-INF/maven/org.apache.logging.log4j/log4j-core/pom.properties
(You can likely ignore this) : duplicate entry: META-INF/maven/org.apache.logging.log4j/log4j-api/pom.properties
(You can likely ignore this) : duplicate entry: META-INF/maven/org.apache.logging.log4j/log4j-api/pom.xml
Finished
E depois, para executar o servidor:
server$ java -jar server.jar nogui
System Info: Java 16 (Eclipse OpenJ9 VM openj9-0.27.0) Host: Linux 5.4.0-81-generic (amd64)
Loading libraries, please wait...
...(server loading log)...