log4j-shell-poc

log4j-shell-poc 最近発見された CVE-2021-44228 脆弱性の Proof-Of-Concept です。 最近、log4j に新たな脆弱性が見つかりました。log4j は Java のロギングライブラリで、elasticsearch や minecraft など、非常に広く使われています。 このリポジトリには、脆弱性のあるサンプルアプリケーションと、その Proof-of-Concept POC エクスプロイトを用意しました。 A video showing the exploitation process 脆弱性のある Web アプリ:...

CVE-2021-44228

CVE-2021-44228 Log4J CVE-2021-44228 を悪用して、脆弱な Minecraft ゲームセッションにおける CVE-2021-44228 をパッチし、セッション内での悪用を防ぎます : JNDI/LDAP操作からリモートコード実行ドリームランドへの旅...

Log4j-PoC

Log4j（CVE-2021-44228）の概念実証 免責事項 このプロジェクトは教育目的のみです。 はじめに これは HyCraftHD から流用した log4j RCE の概念実証です。 CVE-2021-44228 に関するリンクは以下の通りです： https://www.lunasec.io/docs/blog/log4j-zero-day https://github.com/advisories/GHSA-jfh8-c2jp-5v3q https://github.com/apache/logging-log4j2/pull/608...

L4J-Vuln-Patch

NOTICE このツールはもう必要ありません。Mojangは影響を受けるすべてのユーザーをカバーする独自のパッチをリリースしました。 https://www.minecraft.net/ja-jp/article/important-message--security-vulnerability-java-edition 警告 このエクスプロイトはクライアントとサーバーの両方に影響します。...

Log4J-RCE-Proof-Of-Concept

Log4J-RCE-Proof-Of-Concept CVE-2021-44228 これはlog4jのRCEの概念実証です。 CVE-2021-44228に関するリンクはこちら： https://www.lunasec.io/docs/blog/log4j-zero-day https://github.com/advisories/GHSA-jfh8-c2jp-5v3q https://github.com/apache/logging-log4j2/pull/608 https://www.youtube.com/watch?v=JPGola6BamU...

JndiRemover

JndiRemover CVE-2021-44228脆弱性を排除するための小さなMODで、Log4j内のJndiを削除/無効化し、 "$jndi:ldap://domainname.com/script" というテキストを含むメッセージをインターセプトして削除します。 対応MCバージョン: Forge 1.7.10, 1.12.2...

LogJackFix

LogJack Fix CVE-2021-44228 Log4j のリモートコード実行脆弱性を修正し、Minecraft クライアントを保護する Spigot プラグインです。 ビルド gradle build ライセンス GPLv3 のもとでライセンスされています。 Copyright c 2021 lordpipe コントリビューション このリポジトリに貢献することにより、私は以下を確約します： a その貢献は、私によって全体または一部が作成されたものであり、私がファイルに示されたオープンソースライセンスのもとで提出する権利を有していること。または b...

mc-log4j-patcher

mc-log4j-patcher 古い（脆弱性のある - CVE-2021-44228）Log4j2 バージョンを、JNDI RCE 修正を含む最新版（2.15.0）に置き換えます。 Spigot 1.12.2、PaperSpigot 1.8.8、PaperSpigot 1.17.1 でテスト済みです。 これは現在サポートされていないサーバー（PaperSpigot 1.8.8 など）を修正するためのものです。 このツールを使用する前に、現在のサーバーソフトウェアに脆弱性を修正する公式リリースがあるかどうか確認してください。 使用方法: java -jar patcher.jar...

log4shell-minecraft-demo

Log4Shell CVE-2021-44228 Minecraft デモ このデモは、教育フェアで、将来の学生候補にHTL Villachのサイバーセキュリティ学科と、日常的なアプリケーションがどのように悪用され得るかを紹介するために使用されます。 注記: このデモ全体はMinecraft 1.8.8を使用しています。 攻撃者 このシナリオの攻撃者は、kozmerによるPoCを使用しています。 https://github.com/kozmer/log4j-shell-poc すべてのクレジットは彼らに帰属します。 注記: すべてのコマンドは attacker/...

cve-2021-44228-minecraft-poc

Minecraft における CVE-2021-44228 Java 16 Paper サーバービルド 397 Minecraft 1.17.1 悪用 Java 16 では、log4j を使用したデシリアライゼーション攻撃のみがデフォルトで機能します。これを悪用するには、クラスパスに脆弱なシリアライズ可能クラスが存在する必要があります。 このリポジトリの現時点の状態では、サーバーはシリアライズされた文字列オブジェクトのみを送信します。脆弱なシリアライズ可能クラスを見つけた場合は、お気軽にプルリクエストを作成してください。...

BiblioRCE

BiblioCraft内の見落とし、制限されたサーバーサイドファイル操作を可能にする。 この方法はBiblioCraftのみ必要です！あまり手の込んだことをせず、コード実行を達成するために他のMODは不要です！ CoreTweaks CoreTweaksに焦点を当てた元の記事はこちらにあります。最初にこれを読むことをお勧めします。以下で重要な詳細を省略する可能性があります。 影響 コード実行は複数の方法で可能です。 これはBiblioCraft 1.7.10 v1.11.7およびBiblioCraft 1.12.2...

minecraft-log4j-honeypot

Minecraft Log4j 蜜罐 此蜜罐运行一个虚假的 Minecraft 服务器（1.7.2 至 1.16.5，不含快照版本），等待被利用。Payload 类被保存到 payloads/ 目录中。 要求 Go 语言 1.16+ 运行 原生运行 git clone https://github.com/Adikso/minecraft-log4j-honeypot.git cd minecraft-log4j-honeypot go build . ./minecraft-log4j-honeypot 使用 Docker mkdir payloads docker run --rm...

MC-Log4j-Patcher

MC-Log4J-Patcher このプロジェクトの目的は、最近発見されたLog4Jエクスプロイト（CVE-2021-44228）に関して、Minecraftプレイヤーとサーバー運営者に安心感を提供することです。 現在、このプロジェクトは jndi だけでなく、すべてのLog4J形式の文字列を検出し、設定に応じて、それらを置換するか、ログに記録されないよう完全にブロックします。 詳細は、機能、対応プラットフォームなどを以下でご覧ください。 他の方からの支援（貢献や、issue での機能・プラットフォームの提案など）をいただけると大変ありがたく思います。 対応プラットフォーム...

MAL-2026-17224 Malicious code in fabric-asset-pipeline (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector bb92787d766d5bfa0c384cc04909689215fa0d3e869630422caa8bedd303038a [email protected] declares a postinstall hook that runs index.js on npm install. index.js is heavily obfuscated obfuscator.io-style rotated...

Malicious code in fabric-asset-pipeline (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector bb92787d766d5bfa0c384cc04909689215fa0d3e869630422caa8bedd303038a [email protected] declares a postinstall hook that runs index.js on npm install. index.js is heavily obfuscated obfuscator.io-style rotated...

CVE-2026-54617

GravitLauncher is an open-source Minecraft launcher based on sashok724's v3. Prior to 5.7.12, an unauthenticated remote actor can send a raw HTTP request target without a leading slash to the default LaunchServer file server on port 9274. FileServerHandler.channelRead0 in...

CVE-2026-54617 GravitLauncher: Unauthenticated path traversal in LaunchServer FileServerHandler

GravitLauncher is an open-source Minecraft launcher based on sashok724's v3. Prior to 5.7.12, an unauthenticated remote actor can send a raw HTTP request target without a leading slash to the default LaunchServer file server on port 9274. FileServerHandler.channelRead0 in...

EUVD-2026-82391

GravitLauncher is an open-source Minecraft launcher based on sashok724's v3. Prior to 5.7.12, an unauthenticated remote actor can send a raw HTTP request target without a leading slash to the default LaunchServer file server on port 9274. FileServerHandler.channelRead0 in...

CVE-2026-54617 GravitLauncher: Unauthenticated path traversal in LaunchServer FileServerHandler

GravitLauncher is an open-source Minecraft launcher based on sashok724's v3. Prior to 5.7.12, an unauthenticated remote actor can send a raw HTTP request target without a leading slash to the default LaunchServer file server on port 9274. FileServerHandler.channelRead0 in...

CVE-2022-51016

PocketMine-MP 3.x (before 3.27.0) fails to implement Minecraft Bedrock protocol encryption, allowing an attacker who captures a valid login token to replay it and impersonate the victim through XBOX Live authentication until the JWT token expires (typically 2–3 days). The attack requires the targ...