Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Ещё одна уязвимость в Log4j 2. Проблемы в Log4j затрагивают 8% Maven-пакетов, opennews (??), 18-Дек-21, (0) [смотреть все] Те, у кого по какой-то причине до сих пор нигде нет жавы во все щели, выдохнули , Аноним (1), 23:43 , 18-Дек-21, (1) +41 // По апач продуктам вообще не страдаю, не пользуюсь совсем , Аноним (21), 03:45 , 19-Дек-21, (21) // Apache Kafka смеётся тебе в лицо , Аноним (54), 14:17 , 19-Дек-21, (54) –1 // Есть redpanda, Аноним (55), 14:25 , 19-Дек-21, (55) Только у тебя А у нас в далеко не мелкой конторе -- кафка , Брат Анон (ok), 18:32 , 19-Дек-21, (60) +1 Снимем шляпу, помянем , Заноним (?), 21:56 , 19-Дек-21, (66) А log4j у вас есть Большому кораблю - большую торпеду , Аноним (-), 08:03 , 24-Дек-21, (120) Что за хрень и почему её у меня ещё нет , Аноним (21), 20:19 , 19-Дек-21, (61) Угу Пара аппликух есть, но всё Not Affected, судя по приведённому листу, да и в, Онаним (?), 07:07 , 19-Дек-21, (26) +1 У меня Ignition, правда он всё равно только через ssh доступен , commiethebeastie (ok), 10:04 , 19-Дек-21, (34) Да успокойтесь Не все используют log4j2, и не всех оно касается даже из тех, кт, Аноним (39), 10:49 , 19-Дек-21, (39) +3 // У меня нет дыры, у меня нет дыры , - это такая новая молитва, что ли , Аноним (21), 20:25 , 19-Дек-21, (62) –2 // Нет Здравый расчёт и понимание архитектуры своих приложений и используемых ими , Аноним (39), 17:36 , 20-Дек-21, (94) +1 - - -j , жорик (?), 23:02 , 21-Дек-21, (114) –1 code - - -j code , жорик (?), 23:02 , 21-Дек-21, (115) Ну логично, в принципе После нахождения уязвимости каждый старается по максимум, zloykakpes (ok), 23:46 , 18-Дек-21, (2) –2 // Спекулятивное выполнение уже стало пуленепробиваемым после всей той истори , Аноним (5), 00:23 , 19-Дек-21, (5) +16 Fixed, Онаним (?), 09:48 , 19-Дек-21, (31) +4 Или все плюнут на неё и просто будут использовать другой логгер Благо, переходн, Аноним (39), 10:50 , 19-Дек-21, (40) –1 // Отлично, а они эти чудные выражовывания реализуют И если да, то они это секурно, Аноним (-), 08:04 , 24-Дек-21, (121) У log4j архитектор умственно отсталый, как и персонажи прикатывающие этот хлам с, all_glory_to_the_hypnotoad (ok), 13:33 , 19-Дек-21, (52) +2 // покажи свой неумственноотсталый log4j , Аноним (-), 17:01 , 19-Дек-21, (58) // Сначала добейся с , Аноним (21), 20:41 , 19-Дек-21, (64) +1 Потому что нужно стараться делать в рамках кодовой базы SE или ЕЕ, а не тянуть в, Наме (?), 11:31 , 20-Дек-21, (78) syslog, слушает 514 udp, если rsyslog, то еще и tcp можно настроить, для гаранти, andy (??), 21:03 , 20-Дек-21, (99) Астрологи объявили неделю уязвимостей Log4j, Аноним (3), 23:55 , 18-Дек-21, (3) +19 // астрологи из DARPA наверное, x3who (?), 00:22 , 19-Дек-21, (4) +5 Хороший однако ящик Пандоры открыли в этом году, Аноним (6), 00:31 , 19-Дек-21, (6) +1 // Кто сказал, что им не пользовались в предыдущих годах , Аноним (21), 00:41 , 19-Дек-21, (9) +1 // Ну так открыли то в этом, Аноним (24), 04:36 , 19-Дек-21, (24) // Так сказать, уведомили, что давно вертели вас на , Аноним (21), 08:15 , 19-Дек-21, (28) +4 Майки выкатили кор 6, им нужно потолкаться на уже сложившемся рынке Вот и откр, Наме (?), 11:33 , 20-Дек-21, (80) –1 // Как консервы могут протухнуть Они же закрыты от внешней среды, Аноним (110), 13:39 , 21-Дек-21, (110) С нормальными политиками fw исходящего траффика с продакшена риски можно заметно, Аноним (7), 00:39 , 19-Дек-21, (7) +2   // Почти всегда DNS-трафик разрешен, т к нужен Пихаешь данные в base64 и отправля, Аноним (47), 11:41 , 19-Дек-21, (47)   // Правильно настроенный fw не ограничивается tcp udp портами in out Все пихания да, Аноним (7), 15:09 , 19-Дек-21, (57)   JNDI-запрос это не DNS-запрос , Наме (?), 11:34 , 20-Дек-21, (81)   // - если в качестве реестра не используется DNS-сервер, что возможно Выпендрился , MVK (??), 13:01 , 20-Дек-21, (87)   а что это за Log4j , Аноним (10), 00:57 , 19-Дек-21, (10) +4 // Log4j 8212 сторонняя библиотека логирования В самой Java JRE JDK есть собств, iZEN (ok), 01:30 , 19-Дек-21, (12) +1 // Спринг использует логфоджи в зависимостях , Наме (?), 12:41 , 20-Дек-21, (86) // Сам Спринг spring-core зависит от JCL, а в Spring Boot spring-boot-starter-lo, Аноним (96), 19:33 , 20-Дек-21, (96) Библиотека для троянов Это надо же наумиться надо было разыменовывать внешние с, Аноним (21), 03:47 , 19-Дек-21, (22) +4 Leftpad, A.N. Onimous (?), 22:38 , 26-Дек-21, (123) Нужно валидировать данные которые записываешь в лог А ещё нужно делать обесклычи, Аноним (11), 01:24 , 19-Дек-21, (11) // Давным-давно в телеграммах писали так приеду завтра зпт встречайте тчк Это т, Аноним (21), 03:49 , 19-Дек-21, (23) +4 // Тчк зпт использовалось не потому что программисты индусы и не хотят записи в лог, Аноним (11), 14:25 , 21-Дек-21, (111) –1 И какая там валидация должна быть Нужно было код библиотеки прочитать и понять,, Аноним (68), 03:41 , 20-Дек-21, (68) +1 Сглаживает Это как бы основная версия жавы в продакшене В жаве 9 сломали обр, Wilem82 (ok), 02:14 , 19-Дек-21, (14) +9 // кто в трезвом уме и здравой памяти будет переводить прод на java 9 , Тинус Лорвальдс (ok), 02:28 , 19-Дек-21, (15) +2 // Её поддержка уже один раз чуть не закончилась Но она таки когда-нибудь закончит, Wilem82 (ok), 02:38 , 19-Дек-21, (16) +4 // с каких пор поддержка джавы 9 не закончилась она закончилась с выходом джавы 10, Тинус Лорвальдс (ok), 18:39 , 22-Дек-21, (119) Ни разу не было проблем с миграцией на LTS На Java 11 все отлично мигрируется , Аноним (17), 02:40 , 19-Дек-21, (17) –3 // Что такое отлично Это когда ничего делать не надо, просто заменяешь 8 на 11 и, Wilem82 (ok), 02:51 , 19-Дек-21, (18) +1 // Отлично от миграции с 2 на 3 питон проекта сложнее Hello World , Вася (??), 03:01 , 19-Дек-21, (19) Мы уже на Java 17 перешли, но нам проще, поскольку проект новый А вы активно ис, zog (??), 09:14 , 19-Дек-21, (30) +5 При чём тут мы Этим всем пользуются популярные библиотеки Перестают они этим, Wilem82 (ok), 15:08 , 19-Дек-21, (56) +3 Можете привести пример таких экзотических библиотек Что-то мне ни разу такие не, Аноним (90), 13:18 , 20-Дек-21, (90) Экзотические библиотеки с обратной несовместимостью при смене мажорной версии ht, Wilem82 (ok), 17:58 , 22-Дек-21, (118) Там всего несколько мест на самом деле которые поменялись и могут сломать систем, Аноним (90), 13:15 , 20-Дек-21, (89) Да-да-да Эталонные JEE работают только на 8-ке , Наме (?), 11:36 , 20-Дек-21, (82) // - это Вы книге какого года издания прочли , MVK (??), 13:05 , 20-Дек-21, (88) Пятая Рыба работает стабильно только на 8-ке Для этого и книг никаких не надо , Наме (?), 15:36 , 20-Дек-21, (93) - дружище, зачем пятая то Eclipse GlassFish 6 2 3 - вышел в ноябре и с версии 6, MVK (??), 20:47 , 20-Дек-21, (98) GlassFish был эталоном 10 лет назад на сановских наработках Но зачем его сейчас, Аноним (-), 23:15 , 20-Дек-21, (103) Рыбы как были эталонной реализацией, так ею и остаются 6-тая ветка пока не стан, Наме (?), 10:08 , 21-Дек-21, (106) - брехня какая то jakarta ee compatibility tab-9И 6й GlassFish и WildFly 23 пр, MVK (??), 11:31 , 21-Дек-21, (109) А при чём здесь Spring В Spring Boot по-умолчанию log4j не используется А вот , Аноним (-), 11:17 , 22-Дек-21, (116) Растаманы, где вы Как это починить самым безопасным языком в мире , Аноним (21), 03:43 , 19-Дек-21, (20) –1 // У растоманов шаблоны падают на этапе копиляции, а не в продакшене , Cucumber (?), 06:43 , 19-Дек-21, (25) // Потому-то они ничего написать не могут , Аноним (21), 08:13 , 19-Дек-21, (27) –6 У растоманов логи с продакшена собираются на этапе компиляции , Andrey (??), 08:24 , 19-Дек-21, (29) +7 Няша, ты ещё регулярные выражения не видел А как увидишь, сразу седым станешь , Аноним (11), 09:55 , 19-Дек-21, (32) –2 // И в регулярных выражениях тоже могут быть зацикливания, Аноним (11), 09:57 , 19-Дек-21, (33) –2 aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa p s это не то что вы подумали, это , Аноним (-), 08:05 , 24-Дек-21, (122) И вам доброго утречка, Евгений Ваганович , Прохожий (??), 10:39 , 19-Дек-21, (38) кто может толково объяснить почему этот log4j все пытаются патчить, а не заменя, Аноним (35), 10:16 , 19-Дек-21, (35) +1 // Потому что пропатчить дешевле, чем заменить Ваш Кэп , Прохожий (??), 10:37 , 19-Дек-21, (37) +1 // пока не получается - всё новые и новые дыры получаются , Аноним (21), 10:53 , 19-Дек-21, (41) +2 По десять раз накатывать это шерето и оно до сих пор уязвимо Там уже украли всю, Аноним (45), 11:38 , 19-Дек-21, (45) Потому что не в курсе, что есть адаптеры на другие логгеры - http logback qos , Аноним (39), 10:53 , 19-Дек-21, (42) Да, я могу объяснить 1 Я сомневаюсь, что _все_ пытаются патчить, _вместо_ того,, Ordu (ok), 01:22 , 20-Дек-21, (67) // А, может, надо не переползать, а бежать Тогда быстрее будет Были времена, когд, Аноним (21), 08:17 , 20-Дек-21, (72) +1 // Тебе нужна стабильность или скорость Тут ситуация такая, что чем быстрее бежишь, Ordu (ok), 10:37 , 20-Дек-21, (77) –1 Хорошее ПО это прежде всего про деньги, а не про думающих программистов Про оче, Наме (?), 10:35 , 21-Дек-21, (108) Причина простая Увы, большинство крупных проектов на Жабе, мягко скажем, крайне, Наме (?), 11:42 , 20-Дек-21, (83) +1 // В любом более-менее современном пакетном менеджере для Java очень легко вырезать, Аноним (-), 23:19 , 20-Дек-21, (104) // Может быть, но по-моему, не меняется он легко в проекте, которому лет дцать, и у, Наме (?), 10:17 , 21-Дек-21, (107) gradle, maven, sbt, ivy, Откройте maven search и посмотрите - https search, Аноним (39), 19:11 , 21-Дек-21, (112) exclusions exclusion -- declare the exclusion here -- , iZEN (ok), 19:18 , 21-Дек-21, (113) configurations all exclude group log4j , module log4j PS нравится XML, Аноним (-), 11:21 , 22-Дек-21, (117) - - -j , Аноним (49), 13:19 , 19-Дек-21, (49) // толстый троллинг, Аноним (51), 13:28 , 19-Дек-21, (51) cat test test test 124 perl -e s s s s - - 124 , Аноним (63), 20:30 , 19-Дек-21, (63) +1 // 124 124 124 124 124 124 124 124 124 124 , xrensgory (?), 21:14 , 19-Дек-21, (65) +2 Вот это и есть opensource эффект миллиона глаз В популярном пакете нашлась дыра, pda (ok), 18:05 , 19-Дек-21, (59) // что-то из серии Как за дешево провести аудит безопасности , Аноним (69), 07:45 , 20-Дек-21, (69) Кто конкретно внёс указанную уязвимость С современными системами контроля верси, Аноним (70), 08:11 , 20-Дек-21, (70) +1 // Ты даже и MS не привлечёшь, таков путь , Аноним (21), 08:13 , 20-Дек-21, (71) А почему ты обходишь такой вопрос что ты можешь сам поиском найти коммиты и во в, Аноним (75), 10:04 , 20-Дек-21, (75) +1 Похоже я узнал о существовании чего-то о чём мне не стоило знать , Аноньимъ (ok), 08:20 , 20-Дек-21, (73) // Да факт существования такой защиты это секрет Не стоит вскрывать эту тему Ты м, Аноним (75), 10:07 , 20-Дек-21, (76) +1 глубина рекурсии, Sw00p aka Jerom (?), 11:32 , 20-Дек-21, (79) +1 Наверное еще и логи бинарные у этого говна , Аноним (74), 09:06 , 20-Дек-21, (74) +4 // Бинарные Это ущемляет интересы меньшинств , Аноним (84), 11:51 , 20-Дек-21, (84) +3 Как не стыдно такое говорить Логов - множество разновидностей гомонарные, лезб, Аноним (21), 00:56 , 21-Дек-21, (105) Жаба уже никогда не будет прежней, Аноним12345 (?), 12:40 , 20-Дек-21, (85) +2 1,2,3,6,7,10,11,14,20,35,49,59,70,73,74,85

Сообщения

[Сортировка по времени | RSS]

7. "Ещё одна уязвимость в Log4j 2. Проблемы в Log4j затрагивают ..."	+2 +/–
Сообщение от Аноним (7), 19-Дек-21, 00:39
С нормальными политиками fw исходящего траффика с продакшена риски можно заметно снизить. Костыль до нормального патча всех проектов.
Ответить | Правка | Наверх | Cообщить модератору

	47. "Ещё одна уязвимость в Log4j 2. Проблемы в Log4j затрагивают ..."	+/–
	Сообщение от Аноним (47), 19-Дек-21, 11:41
	Почти всегда DNS-трафик разрешен, т.к. нужен. Пихаешь данные в base64 и отправляешь на свой поддомен, который обслуживает твой DNS сервер. Как от этого защититься fw? Мне кажется, никак. Тут только какие-то хитрые IPS/IDS с анализом интенсивности трафика или сигнатурами по определенной структуре запросов. Или вы про первичное выкачивание java-класса?
	Ответить | Правка | Наверх | Cообщить модератору

	57. "Ещё одна уязвимость в Log4j 2. Проблемы в Log4j затрагивают ..."	+/–
	Сообщение от Аноним (7), 19-Дек-21, 15:09
	Правильно настроенный fw не ограничивается tcp/udp портами in/out. Все пихания данных по DNS через base64 это огромное кол-во TXT запросов с хоста в дмз, которые так же нужно резать. Все крупные IPS это умеют уже с начала 10х годов, можно загуглить "block dns tunneling"
	Ответить | Правка | Наверх | Cообщить модератору

	81. "Ещё одна уязвимость в Log4j 2. Проблемы в Log4j затрагивают ..."	+/–
	Сообщение от Наме (?), 20-Дек-21, 11:34
	JNDI-запрос это не DNS-запрос.
	Ответить | Правка | К родителю #47 | Наверх | Cообщить модератору

	87. "Ещё одна уязвимость в Log4j 2. Проблемы в Log4j затрагивают ..."	+/–
	Сообщение от MVK (??), 20-Дек-21, 13:01
	>JNDI-запрос это не DNS-запрос - если в качестве реестра не используется DNS-сервер, что возможно. Выпендрился чисто ради расширения юзерского кругозора
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема