ВРАЗЛИВІСТЬ БЕЗПЕКИ У ВЕРСІЇ JAVA

Оголошення Mojang щодо цієї вразливості: ВАЖЛИВЕ ПОВІДОМЛЕННЯ: ВРАЗЛИВІСТЬ БЕЗПЕКИ У ВИДІАННІ JAVA

9 грудня 2021 року було виявлено експлойт в одній із бібліотек, яка використовується серверними файлами Minecraft. Це вразливість RCE (Remote Code Execution), тому вона вважається серйозною, і всім рекомендується оновити її якомога швидше.

Виправлення експлойту для Paper було випущено командою PaperMC і згодом було об’єднано різними форками Paper. Інші серверні банки також випустили збірки, які реалізують виправлення.

10 грудня 2021 року Mojang випустила виправлення для експлойту в клієнтах Minecraft і кроки до як це виправити на старих версіях серверів Minecraft. Щоб усунути експлойт, виконайте наведені нижче дії.

Клієнти також були вразливі до цього експлойту, але Mojang вже випустив патч, який застосовується до всіх версій Minecraft. Вам просто потрібно закрити всі запущені екземпляри гри та програму запуску Minecraft і знову запустити програму запуску — версія з виправленнями завантажиться автоматично.

Не рекомендується грати на серверах, які не оновлено до останньої версії Minecraft, оскільки вони можуть бути вразливими до експлойту. Це критично для модифікованих клієнтів, які не отримали виправлення, випущене Mojang. Тому переконайтеся, що ви також оновили свій клік і перевірте у них, чи випустили вони патч для експлойту.

Ми створили цей документ, щоб допомогти вам усунути експлойт. Ми рекомендуємо вам застосувати позначку, якщо це необхідно для вашої версії Minecraft, і оновити серверну банку до останньої доступної збірки, переконайтеся, що ця збірка містить виправлення експлойту (про це має бути зазначено в журналі змін). Нижче наведено кроки, як виконати обидві дії.

Якщо вам потрібна допомога в цьому, зверніться до нашого каналу #support-chat на нашому Discord.

Якщо ваш сервер працює:

Сервери Forge

Forge опублікував розширену статтю, де детально описано, як виправити експлойт шляхом оновлення до останньої збірки або застосуванням позначки. Ви можете прочитати більше тут.

Сервери 1.18 (Vanilla, Spigot, Paper, Purpur та інші форки)

1.18: оновіть до 1.18.1, якщо можливо. Якщо ні, використовуйте той самий підхід, що й для 1.17.x:

Посилання на PaperMC 1.18.1 .jar із виправленням експлойту:

• Paper 1.18.1 – виберіть останню збірку на веб-сайті та завантажте її: PaperMC 1.18.1 Builds

Сервери 1.17 - 1.17.1

Ми вже застосували виправлення до всіх серверів, на яких працює версія 1.17+. Ми все одно рекомендуємо вам оновити до останньої версії 1.17.1 або 1.18.1.

Посилання на банки PaperMC 1.17.1 із виправленням експлойту:

• Paper 1.17.1 – виберіть останню збірку на веб-сайті та завантажте її: PaperMC 1.17.1 Builds

Якщо ви оновлюєте одну з перелічених вище збірок, вам не потрібно застосовувати виправлення прапора, яке ми наводимо нижче.

Якщо ви все одно хочете застосувати виправлення, виконайте наведені нижче дії.

Mojang рекомендує вам додати позначку -Dlog4j2.formatMsgNoLookups=true до команди запуску. 9 грудня 2021 року команда Godlike.host додала цей прапор на всі сервери Minecraft, тож вам просто потрібно переконатися, що цей прапор є у вашій команді запуску. Крім того, обов’язково перезапустіть сервер, якщо ви не робили цього нещодавно, оскільки перезапуск сервера застосовує позначку під час запуску. Щоб переконатися, що у вас є прапорець, просто перейдіть на панель Minecraft, потім перейдіть на вкладку запуску та переконайтеся, що прапорець стоїть у команді запуску, він має бути перед текстом -jar. Також рекомендується оновити до останньої збірки 1.17.1, наданої на вашому сервері. Paper, Fabric та інші серверні банки випустили збірки 1.17.1, включаючи виправлення експлойту. Для отримання додаткової інформації зверніться до розділу оновлення в кінці цього документа.

Сервери 1.12 - 1.16.5

PaperMC випустив банки з виправленням експлойту. Цих банок немає на їх веб-сайті, тут є прямі посилання на них (ви також можете знайти їх у нашому селекторі типу сервера на вкладці налаштувань):

Офіційна заява PaperMC: усі застарілі збірки не підтримуються. На деяких серверах можуть виникнути деякі проблеми з консоллю чи інші проблеми. Завантажуйте та використовуйте на свій страх і ризик. Посилання на застарілу збірку:

• Paper 1.16.5 Build #792 - Натисніть тут, щоб завантажити
• Paper 1.15.2 Build #392 - Натисніть тут, щоб завантажити
• Paper 1.14.4 Build #244 - Натисніть тут, щоб завантажити
• Paper 1.13.2 Build #656 - Натисніть тут, щоб завантажити
• Paper 1.12.2 Build #1619 - Натисніть тут, щоб завантажити

Якщо ви оновлюєте одну з перелічених вище збірок, вам не потрібно застосовувати виправлення прапора, яке ми наводимо нижче.

Якщо ви все одно хочете застосувати виправлення, виконайте наведені нижче дії.

Якщо з будь-якої причини ваш сервер не запускається після застосування виправлення або ви хочете видалити виправлення, натисніть Видалити.

Якщо з будь-якої причини вам потрібно зробити це вручну, виконайте наведені нижче дії.

Завантажте цей файл у домашній каталог, де працює ваш сервер. Щоб зробити це, ви можете перейти за URL-адресою, і він відкриє файл .xml у вашому браузері, вам потрібно буде клацнути правою кнопкою миші, а потім натиснути «Зберегти як», а потім зберегти файл .xml. Ви також можете перейти до менеджера файлів на панелі Minecraft, натиснути кнопку Завантажити з URL-адреси та вставити таку URL-адресу: https://launcher.mojang.com/v1/objects/02937d122c86ce73319ef9975b58896fc1b491d1/log4j2_112- 116.xml, і це завантажить файл у домашній каталог вашого сервера. Коли файл буде на сервері, перейдіть на вкладку запуску на панелі Minecraft, додайте наступні аргументи JVM до прапорів запуску. Для цього просто перейдіть на вкладку запуску та додайте наступні аргументи JVM у вікні прапорів запуску: -Dlog4j.configurationFile=log4j2_112-116.xml. Після додавання аргументів JVM перезапустіть сервер. Також рекомендується оновити до останньої збірки, наданої вашим сервером. Більшість розробників висловили намір не оновлювати серверні файли найстаріших версій, щоб включити виправлення експлойту, але Paper уже випустив нову збірку 1.16.5 (збірка №792), яка містить виправлення помилки. Для отримання додаткової інформації зверніться до розділу оновлення в кінці цього документа.

Сервери 1.7 - 1.11.2

PaperMC випустив банки з виправленням експлойту. Цих банок немає на їхньому веб-сайті, але тут є прямі посилання на них (ви також можете знайти їх у нашому засобі вибору типу сервера на вкладці налаштувань)

Офіційна заява PaperMC: усі застарілі збірки не підтримуються. На деяких серверах можуть виникнути деякі проблеми з консоллю чи інші проблеми. Завантажуйте та використовуйте на свій страх і ризик. Посилання на застарілу збірку:

• Paper 1.11.2 Build #1105 - Натисніть тут, щоб завантажити
• Paper 1.10.2 Build #917 - Натисніть тут, щоб завантажити
• Paper 1.9.4 Build #774 - Натисніть тут, щоб завантажити
• Paper 1.8.8 Build #444 - Натисніть тут, щоб завантажити

Якщо ви оновлюєте одну з перелічених вище збірок, вам не потрібно застосовувати виправлення прапора, яке ми наводимо нижче.

Якщо ви все ще хочете застосувати його (з нашого тесту ці прапорці не працюють з Paper 1.7 - 1.11.2, і ваш сервер не запуститься, якщо ви їх використовуєте), ви можете виконати такі дії:

Завантажте цей файл у домашній каталог, де працює ваш сервер. Щоб зробити це, ви можете перейти за URL-адресою, і він відкриє файл .xml у вашому браузері, вам потрібно буде клацнути правою кнопкою миші, а потім натиснути «Зберегти як», а потім зберегти файл .xml. Ви також можете перейти до менеджера файлів на панелі Minecraft, натиснути кнопку Завантажити з URL-адреси та вставити таку URL-адресу: https://launcher.mojang.com/v1/objects/dd2b723346a8dcd48e7f4d245f6bf09e98db9696/log4j2_17- 111.xml, і це завантажить файл у домашній каталог вашого сервера. Коли файл буде на сервері, перейдіть на вкладку запуску на панелі Minecraft, додайте наступні аргументи JVM до прапорів запуску. Для цього просто перейдіть на вкладку запуску та додайте наступні аргументи JVM у вікні прапорів запуску: -Dlog4j.configurationFile=log4j2_17-111.xml. Після додавання аргументів JVM перезапустіть сервер.

Сервери 1.6 та нижче

Цей експлойт не впливає на сервери з версіями 1.6 і нижче.

Додавання прапора до розділу прапорів запуску

Приклад того, як додати позначку до команди запуску (див. виділений текст). Пам’ятайте, що вам потрібно додати відповідний прапор, який відповідає вашій версії сервера Minecraft.

IMPORTANT

За змовчуванням цей параметр стоЇть для всіх серверів та може не відображатись так само як xms та xmx

Оновлення вашого сервера jar до останньої збірки

:white_check_mark: Spigot - див. тут!

:white_check_mark: Paper - Завантажте тут - Виправлення експлойту є в збірці №64 або новішій для MC 1.18 / збірка #398 або новіший для MC 1.17.1. Paper також переніс виправлення до MC 1.16.5 за допомогою збірки №792, яку можна знайти тут. Ми рекомендуємо використовувати збірку #399 або новішу для MC 1.17.1 і збірку #67 або новішу для MC 1.18-1.18.1, саме ці збірки які включають оновлену бібліотеку Log4J (бібліотеку, яка мала експлойт у старих версіях).

Збірки PaperMC, які містять виправлення експлойту:

• Paper 1.18.1 – виберіть останню збірку на веб-сайті та завантажте її: PaperMC 1.18.1 Builds
• Paper 1.17.1 – виберіть останню збірку на веб-сайті та завантажте її: PaperMC 1.17.1 Builds
• Paper 1.16.5 Збірка #792 - Натисніть для завантаження
• Paper 1.15.2 Збірка #392 - Натисніть для завантаження
• Paper 1.14.4 Збірка #244 - Натисніть для завантаження
• Paper 1.13.2 Збірка #656 - Натисніть для завантаження
• Paper 1.12.2 Збірка #1619 - Натисніть для завантаження
• Paper 1.11.2 Збірка #1105 - Натисніть для завантаження
• Paper 1.10.2 Збірка #917 - Натисніть для завантаження
• Paper 1.9.4 Збірка #774 - Натисніть для завантаження
• Paper 1.8.8 Збірка #444 - Натисніть для завантаження

:white_check_mark: Purpur - Завантажте тут - Виправлення експлойту є в збірці №1432 або новішій для MC 1.18 .

:white_check_mark: Waterfall - Завантажте тут - Виправлення експлойту є в збірці №467 або новішій. Ми рекомендуємо використовувати збірку №468 або новішу, яка містить оновлену бібліотеку Log4J (бібліотека, яка мала експлойт у старих версіях).

:white_check_mark: Velocity - Завантажте тут - Виправлення експлойту є в збірці №97 або новішій. Ми рекомендуємо використовувати збірку №98 або новішу, яка включає оновлену бібліотеку Log4J (бібліотеку, яка мала експлойт у старіших версіях).

:white_check_mark: Forge – завантажте тут – Forge оновив найпопулярніші версії, щоб застосувати виправлення експлойту. Наступні версії Forge (або новіші версії) містять виправлення експлойту:

Forge опублікував розширену статтю, де детально описано, як виправити експлойт шляхом оновлення до останньої збірки або застосуванням позначки. Ви можете прочитати більше тут.

• 1.18-38.0.17 або новіша
• 1.17.1-37.1.1 або новіша
• 1.16.5-36.2.20 або новіша
• 1.15.2-31.2.56 або новіша
• 1.14.4-28.2.25 або новіша
• 1.13.2-25.0.222 або новіша
• 1.12.2-14.23.5.2857 або новіша

Ви повинні мати можливість завантажити один із наведених вище файлів jar (переконайтеся, що ви завантажили збірку з виправленням), запустіть .jar на своєму комп’ютері, натисніть «Створити файли сервера», потім заархівуйте/архівуйте всі файли сервера, які були згенеровані, і завантажте їх на ваш сервер.

Ви також можете оновити свій сервер за допомогою нашого селектора типу сервера. Просто перейдіть на сторінку налаштувань на вашому сервері, потім виберіть jar, який ви хочете завантажити, і виберіть останню збірку. Переконайтеся, що ви посилаєтеся на збірку №, указану вище, щоб знати, що ви завантажуєте збірку, яка містить виправлення. Ви також можете скористатися кнопкою Оновити до останньої версії, якщо раніше використовували наш селектор типу сервера.

Рекомендується запустити резервне копіювання сервера перед оновленням або внесенням будь-яких змін. Перегляньте наш посібник про Як працює резервне копіювання та як ним користуватися.

Як перевірити, чи ваш сервер уразливий

Відповідно до команди PaperMC: щоб перевірити, чи працює виправлення, запустіть say ${date:YYYY} у консолі, вона має вивести ту саму команду, а не 2021. Якщо він виводить «2021», це означає, що проблему не вирішено належним чином.

Якщо вам потрібна допомога з оновленням вашого сервера, перегляньте наш посібник Оновлення і канал #відкрити тікет