Уязвимость Log4J2 в Minecraft: как защитить клиент и сервер
В начале декабря 2021 года сообщество Minecraft столкнулось с серьёзной угрозой — критической уязвимостью в библиотеке логирования Log4J2. Проблема, получившая название Log4Shell, позволяла злоумышленникам удалённо выполнять код, провоцировать сбои или «зависания» игры через специально сформированные сообщения в чате, названия предметов или даже отключения от сервера. Разработчики оперативно выпустили патчи, но многие сборки, особенно старые версии Forge и автономные серверы, остались под угрозой. Именно для таких случаев был создан компактный мод Log4J2 JNDI Exploit Fix.
Как работает Log4J2 JNDI Exploit Fix
Мод представляет собой крошечную клиентскую и серверную заплатку, совместимую одновременно с Fabric и Forge. Его задача — точечно удалить опасный механизм JNDI-подстановок (lookup), который используется в Log4J2 для динамической загрузки удалённых ресурсов. В обычной игре эта функция не нужна, но именно через неё злоумышленник может внедрить вредоносную ссылку в любое текстовое поле, попадающее в лог. Модификация выполняет однократную операцию при запуске, отключая проблемный компонент на фундаментальном уровне, и не затрагивает остальную функциональность логирования.
Когда действительно нужен этот мод
Разработчики Minecraft, CurseForge и Fabric Loader встроили собственные исправления в свои лаунчеры и загрузчики. Поэтому если вы используете официальный ванильный клиент, обновлённый Fabric Loader 0.12.12 и выше или актуальные сборки Forge для версий 1.12 и новее, дополнительный мод вам не потребуется. Однако ситуация меняется, когда речь заходит о старых серверах, кастомных модпаках или версиях игры, для которых обновлённый загрузчик недоступен. В таблице ниже перечислены минимальные безопасные версии Forge для разных веток Minecraft:
- Forge 1.18.1-39.0.0+ для Minecraft 1.18.1
- Forge 1.18-38.0.17+ для Minecraft 1.18
- Forge 1.17.1-37.1.1+ для Minecraft 1.17.1
- Forge 1.16.5-36.2.20+ для Minecraft 1.16.5
- Forge 1.15.2-31.2.56+ для Minecraft 1.15.2
- Forge 1.14.4-28.2.25+ для Minecraft 1.14.4
- Forge 1.13.2-25.0.222+ для Minecraft 1.13.2
- Forge 1.12.2-14.23.5.2857+ для Minecraft 1.12.2
Если ваша версия не входит в этот список или вы вынуждены использовать моды, несовместимые с новым загрузчиком, Log4J2 JNDI Exploit Fix становится разумным компромиссом. Особенно это актуально для серверов на версиях от 1.7 до 1.12, где обновления Forge больше не выпускаются. Мод ставится как на клиент, так и на сервер, ведь уязвимость работает в обе стороны: вредоносное сообщение может прийти из чата или быть записано в лог при обработке пакетов.
Нюансы совместимости и альтернативные методы
Несмотря на универсальность, у мода есть два задокументированных конфликта. Во-первых, он несовместим с Forge 1.17 и новее из-за инкапсуляции модулей — в этих случаях достаточно добавить аргумент JVM -Dlog4j2.formatMsgNoLookups=true при запуске. Во-вторых, Fabric Loader начиная с версии 0.12.10 уже содержит аналогичный фикс, поэтому вместо мода лучше обновить загрузчик до 0.12.12. Во всех остальных ситуациях использование заплатки безопасно и не вызывает побочных эффектов.
Важно понимать, что мод не даёт абсолютной гарантии, но действует на низком уровне, блокируя саму возможность эксплуатации JNDI. При этом он не фильтрует трафик и не мешает передаче сообщений между клиентами — вредоносная строка всё ещё может пройти по сети, но уже не будет обработана логером. Для серверов старше 1.18.1-rc3, не получивших официальный патч, это единственный простой способ закрыть брешь без глобальной смены окружения.
Установка мода и удобные инструменты
Процесс установки элементарен: скачайте JAR-файл мода и поместите его в папку mods клиента или сервера. Если вы пользуетесь Fabric, убедитесь, что версия загрузчика ниже 0.12.10, иначе мод не понадобится. Для Forge 1.12 и младше мод работает без нареканий. Многие игроки предпочитают не возиться с ручным копированием файлов, а использовать современные лаунчеры с автоматической подгрузкой модификаций. Например, через лаунчер foxygame.net этот мод можно установить прямо из встроенного каталога — достаточно найти его в меню и нажать одну кнопку, после чего лаунчер сам разместит файл в нужной директории и проверит совместимость с текущей сборкой.
Такой подход экономит время и снижает риск ошибок, особенно если вы собираете модпак из десятков дополнений. Лаунчер автоматически отслеживает зависимости и предупреждает о конфликтах, что особенно ценно при работе со старыми версиями игры, где каждая мелочь может привести к вылету.
Заключение
Уязвимость Log4J2 стала серьёзным напоминанием о том, насколько важна своевременная защита даже в песочнице Minecraft. Мод Log4J2 JNDI Exploit Fix — это лёгкое, целенаправленное решение для тех, кто не может или не хочет обновлять загрузчик целиком. Он закрывает брешь без лишних накладок и подходит для большинства старых сборок. Главное — помнить о несовместимости с новыми Forge и Fabric Loader, где уже есть встроенные механизмы безопасности. Выбирайте тот способ защиты, который лучше всего вписывается в вашу сборку, и продолжайте строить свои миры без оглядки на зловредный код.