Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Ещё одна уязвимость в Log4j 2. Проблемы в Log4j затрагивают 8% Maven-пакетов, opennews (??), 18-Дек-21, (0) [смотреть все] Те, у кого по какой-то причине до сих пор нигде нет жавы во все щели, выдохнули , Аноним (1), 23:43 , 18-Дек-21, (1) +41 // По апач продуктам вообще не страдаю, не пользуюсь совсем , Аноним (21), 03:45 , 19-Дек-21, (21) // Apache Kafka смеётся тебе в лицо , Аноним (54), 14:17 , 19-Дек-21, (54) –1 // Есть redpanda, Аноним (55), 14:25 , 19-Дек-21, (55) Только у тебя А у нас в далеко не мелкой конторе -- кафка , Брат Анон (ok), 18:32 , 19-Дек-21, (60) +1 Снимем шляпу, помянем , Заноним (?), 21:56 , 19-Дек-21, (66) А log4j у вас есть Большому кораблю - большую торпеду , Аноним (-), 08:03 , 24-Дек-21, (120) Что за хрень и почему её у меня ещё нет , Аноним (21), 20:19 , 19-Дек-21, (61) Угу Пара аппликух есть, но всё Not Affected, судя по приведённому листу, да и в, Онаним (?), 07:07 , 19-Дек-21, (26) +1 У меня Ignition, правда он всё равно только через ssh доступен , commiethebeastie (ok), 10:04 , 19-Дек-21, (34) Да успокойтесь Не все используют log4j2, и не всех оно касается даже из тех, кт, Аноним (39), 10:49 , 19-Дек-21, (39) +3 // У меня нет дыры, у меня нет дыры , - это такая новая молитва, что ли , Аноним (21), 20:25 , 19-Дек-21, (62) –2 // Нет Здравый расчёт и понимание архитектуры своих приложений и используемых ими , Аноним (39), 17:36 , 20-Дек-21, (94) +1 - - -j , жорик (?), 23:02 , 21-Дек-21, (114) –1 code - - -j code , жорик (?), 23:02 , 21-Дек-21, (115) Ну логично, в принципе После нахождения уязвимости каждый старается по максимум, zloykakpes (ok), 23:46 , 18-Дек-21, (2) –2 // Спекулятивное выполнение уже стало пуленепробиваемым после всей той истори , Аноним (5), 00:23 , 19-Дек-21, (5) +16 Fixed, Онаним (?), 09:48 , 19-Дек-21, (31) +4 Или все плюнут на неё и просто будут использовать другой логгер Благо, переходн, Аноним (39), 10:50 , 19-Дек-21, (40) –1 // Отлично, а они эти чудные выражовывания реализуют И если да, то они это секурно, Аноним (-), 08:04 , 24-Дек-21, (121) У log4j архитектор умственно отсталый, как и персонажи прикатывающие этот хлам с, all_glory_to_the_hypnotoad (ok), 13:33 , 19-Дек-21, (52) +2 // покажи свой неумственноотсталый log4j , Аноним (-), 17:01 , 19-Дек-21, (58) // Сначала добейся с , Аноним (21), 20:41 , 19-Дек-21, (64) +1 Потому что нужно стараться делать в рамках кодовой базы SE или ЕЕ, а не тянуть в, Наме (?), 11:31 , 20-Дек-21, (78) syslog, слушает 514 udp, если rsyslog, то еще и tcp можно настроить, для гаранти, andy (??), 21:03 , 20-Дек-21, (99) Астрологи объявили неделю уязвимостей Log4j, Аноним (3), 23:55 , 18-Дек-21, (3) +19 // астрологи из DARPA наверное, x3who (?), 00:22 , 19-Дек-21, (4) +5 Хороший однако ящик Пандоры открыли в этом году, Аноним (6), 00:31 , 19-Дек-21, (6) +1 // Кто сказал, что им не пользовались в предыдущих годах , Аноним (21), 00:41 , 19-Дек-21, (9) +1 // Ну так открыли то в этом, Аноним (24), 04:36 , 19-Дек-21, (24) // Так сказать, уведомили, что давно вертели вас на , Аноним (21), 08:15 , 19-Дек-21, (28) +4 Майки выкатили кор 6, им нужно потолкаться на уже сложившемся рынке Вот и откр, Наме (?), 11:33 , 20-Дек-21, (80) –1 // Как консервы могут протухнуть Они же закрыты от внешней среды, Аноним (110), 13:39 , 21-Дек-21, (110) С нормальными политиками fw исходящего траффика с продакшена риски можно заметно, Аноним (7), 00:39 , 19-Дек-21, (7) +2 // Почти всегда DNS-трафик разрешен, т к нужен Пихаешь данные в base64 и отправля, Аноним (47), 11:41 , 19-Дек-21, (47) // Правильно настроенный fw не ограничивается tcp udp портами in out Все пихания да, Аноним (7), 15:09 , 19-Дек-21, (57) JNDI-запрос это не DNS-запрос , Наме (?), 11:34 , 20-Дек-21, (81) // - если в качестве реестра не используется DNS-сервер, что возможно Выпендрился , MVK (??), 13:01 , 20-Дек-21, (87) а что это за Log4j , Аноним (10), 00:57 , 19-Дек-21, (10) +4 // Log4j 8212 сторонняя библиотека логирования В самой Java JRE JDK есть собств, iZEN (ok), 01:30 , 19-Дек-21, (12) +1 // Спринг использует логфоджи в зависимостях , Наме (?), 12:41 , 20-Дек-21, (86) // Сам Спринг spring-core зависит от JCL, а в Spring Boot spring-boot-starter-lo, Аноним (96), 19:33 , 20-Дек-21, (96) Библиотека для троянов Это надо же наумиться надо было разыменовывать внешние с, Аноним (21), 03:47 , 19-Дек-21, (22) +4 Leftpad, A.N. Onimous (?), 22:38 , 26-Дек-21, (123) Нужно валидировать данные которые записываешь в лог А ещё нужно делать обесклычи, Аноним (11), 01:24 , 19-Дек-21, (11) // Давным-давно в телеграммах писали так приеду завтра зпт встречайте тчк Это т, Аноним (21), 03:49 , 19-Дек-21, (23) +4 // Тчк зпт использовалось не потому что программисты индусы и не хотят записи в лог, Аноним (11), 14:25 , 21-Дек-21, (111) –1 И какая там валидация должна быть Нужно было код библиотеки прочитать и понять,, Аноним (68), 03:41 , 20-Дек-21, (68) +1 Сглаживает Это как бы основная версия жавы в продакшене В жаве 9 сломали обр, Wilem82 (ok), 02:14 , 19-Дек-21, (14) +9 // кто в трезвом уме и здравой памяти будет переводить прод на java 9 , Тинус Лорвальдс (ok), 02:28 , 19-Дек-21, (15) +2 // Её поддержка уже один раз чуть не закончилась Но она таки когда-нибудь закончит, Wilem82 (ok), 02:38 , 19-Дек-21, (16) +4 // с каких пор поддержка джавы 9 не закончилась она закончилась с выходом джавы 10, Тинус Лорвальдс (ok), 18:39 , 22-Дек-21, (119) Ни разу не было проблем с миграцией на LTS На Java 11 все отлично мигрируется , Аноним (17), 02:40 , 19-Дек-21, (17) –3 // Что такое отлично Это когда ничего делать не надо, просто заменяешь 8 на 11 и, Wilem82 (ok), 02:51 , 19-Дек-21, (18) +1 // Отлично от миграции с 2 на 3 питон проекта сложнее Hello World , Вася (??), 03:01 , 19-Дек-21, (19) Мы уже на Java 17 перешли, но нам проще, поскольку проект новый А вы активно ис, zog (??), 09:14 , 19-Дек-21, (30) +5 При чём тут мы Этим всем пользуются популярные библиотеки Перестают они этим, Wilem82 (ok), 15:08 , 19-Дек-21, (56) +3 Можете привести пример таких экзотических библиотек Что-то мне ни разу такие не, Аноним (90), 13:18 , 20-Дек-21, (90) Экзотические библиотеки с обратной несовместимостью при смене мажорной версии ht, Wilem82 (ok), 17:58 , 22-Дек-21, (118) Там всего несколько мест на самом деле которые поменялись и могут сломать систем, Аноним (90), 13:15 , 20-Дек-21, (89) Да-да-да Эталонные JEE работают только на 8-ке , Наме (?), 11:36 , 20-Дек-21, (82) // - это Вы книге какого года издания прочли , MVK (??), 13:05 , 20-Дек-21, (88) Пятая Рыба работает стабильно только на 8-ке Для этого и книг никаких не надо , Наме (?), 15:36 , 20-Дек-21, (93) - дружище, зачем пятая то Eclipse GlassFish 6 2 3 - вышел в ноябре и с версии 6, MVK (??), 20:47 , 20-Дек-21, (98) GlassFish был эталоном 10 лет назад на сановских наработках Но зачем его сейчас, Аноним (-), 23:15 , 20-Дек-21, (103) Рыбы как были эталонной реализацией, так ею и остаются 6-тая ветка пока не стан, Наме (?), 10:08 , 21-Дек-21, (106) - брехня какая то jakarta ee compatibility tab-9И 6й GlassFish и WildFly 23 пр, MVK (??), 11:31 , 21-Дек-21, (109) А при чём здесь Spring В Spring Boot по-умолчанию log4j не используется А вот , Аноним (-), 11:17 , 22-Дек-21, (116) Растаманы, где вы Как это починить самым безопасным языком в мире , Аноним (21), 03:43 , 19-Дек-21, (20) –1 // У растоманов шаблоны падают на этапе копиляции, а не в продакшене , Cucumber (?), 06:43 , 19-Дек-21, (25) // Потому-то они ничего написать не могут , Аноним (21), 08:13 , 19-Дек-21, (27) –6 У растоманов логи с продакшена собираются на этапе компиляции , Andrey (??), 08:24 , 19-Дек-21, (29) +7 Няша, ты ещё регулярные выражения не видел А как увидишь, сразу седым станешь , Аноним (11), 09:55 , 19-Дек-21, (32) –2 // И в регулярных выражениях тоже могут быть зацикливания, Аноним (11), 09:57 , 19-Дек-21, (33) –2 aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa p s это не то что вы подумали, это , Аноним (-), 08:05 , 24-Дек-21, (122) И вам доброго утречка, Евгений Ваганович , Прохожий (??), 10:39 , 19-Дек-21, (38) кто может толково объяснить почему этот log4j все пытаются патчить, а не заменя, Аноним (35), 10:16 , 19-Дек-21, (35) +1 // Потому что пропатчить дешевле, чем заменить Ваш Кэп , Прохожий (??), 10:37 , 19-Дек-21, (37) +1 // пока не получается - всё новые и новые дыры получаются , Аноним (21), 10:53 , 19-Дек-21, (41) +2 По десять раз накатывать это шерето и оно до сих пор уязвимо Там уже украли всю, Аноним (45), 11:38 , 19-Дек-21, (45) Потому что не в курсе, что есть адаптеры на другие логгеры - http logback qos , Аноним (39), 10:53 , 19-Дек-21, (42) Да, я могу объяснить 1 Я сомневаюсь, что _все_ пытаются патчить, _вместо_ того,, Ordu (ok), 01:22 , 20-Дек-21, (67) // А, может, надо не переползать, а бежать Тогда быстрее будет Были времена, когд, Аноним (21), 08:17 , 20-Дек-21, (72) +1   // Тебе нужна стабильность или скорость Тут ситуация такая, что чем быстрее бежишь, Ordu (ok), 10:37 , 20-Дек-21, (77) –1   Хорошее ПО это прежде всего про деньги, а не про думающих программистов Про оче, Наме (?), 10:35 , 21-Дек-21, (108)   Причина простая Увы, большинство крупных проектов на Жабе, мягко скажем, крайне, Наме (?), 11:42 , 20-Дек-21, (83) +1 // В любом более-менее современном пакетном менеджере для Java очень легко вырезать, Аноним (-), 23:19 , 20-Дек-21, (104) // Может быть, но по-моему, не меняется он легко в проекте, которому лет дцать, и у, Наме (?), 10:17 , 21-Дек-21, (107) gradle, maven, sbt, ivy, Откройте maven search и посмотрите - https search, Аноним (39), 19:11 , 21-Дек-21, (112) exclusions exclusion -- declare the exclusion here -- , iZEN (ok), 19:18 , 21-Дек-21, (113) configurations all exclude group log4j , module log4j PS нравится XML, Аноним (-), 11:21 , 22-Дек-21, (117) - - -j , Аноним (49), 13:19 , 19-Дек-21, (49) // толстый троллинг, Аноним (51), 13:28 , 19-Дек-21, (51) cat test test test 124 perl -e s s s s - - 124 , Аноним (63), 20:30 , 19-Дек-21, (63) +1 // 124 124 124 124 124 124 124 124 124 124 , xrensgory (?), 21:14 , 19-Дек-21, (65) +2 Вот это и есть opensource эффект миллиона глаз В популярном пакете нашлась дыра, pda (ok), 18:05 , 19-Дек-21, (59) // что-то из серии Как за дешево провести аудит безопасности , Аноним (69), 07:45 , 20-Дек-21, (69) Кто конкретно внёс указанную уязвимость С современными системами контроля верси, Аноним (70), 08:11 , 20-Дек-21, (70) +1 // Ты даже и MS не привлечёшь, таков путь , Аноним (21), 08:13 , 20-Дек-21, (71) А почему ты обходишь такой вопрос что ты можешь сам поиском найти коммиты и во в, Аноним (75), 10:04 , 20-Дек-21, (75) +1 Похоже я узнал о существовании чего-то о чём мне не стоило знать , Аноньимъ (ok), 08:20 , 20-Дек-21, (73) // Да факт существования такой защиты это секрет Не стоит вскрывать эту тему Ты м, Аноним (75), 10:07 , 20-Дек-21, (76) +1 глубина рекурсии, Sw00p aka Jerom (?), 11:32 , 20-Дек-21, (79) +1 Наверное еще и логи бинарные у этого говна , Аноним (74), 09:06 , 20-Дек-21, (74) +4 // Бинарные Это ущемляет интересы меньшинств , Аноним (84), 11:51 , 20-Дек-21, (84) +3 Как не стыдно такое говорить Логов - множество разновидностей гомонарные, лезб, Аноним (21), 00:56 , 21-Дек-21, (105) Жаба уже никогда не будет прежней, Аноним12345 (?), 12:40 , 20-Дек-21, (85) +2 1,2,3,6,7,10,11,14,20,35,49,59,70,73,74,85

Сообщения

[Сортировка по времени | RSS]

	72. "Третья уязвимость в Log4j 2. Проблемы в Log4j затрагивают 8%..."	+1 +/–
	Сообщение от Аноним (21), 20-Дек-21, 08:17
	> переползать ... Это может занять до полугода А, может, надо не переползать, а бежать? Тогда быстрее будет. Были времена, когда за год писали язык программирования + ось. Сейчас же программисты умеют только ползать от дыры к дыре.
	Ответить | Правка | Наверх | Cообщить модератору

	77. "Третья уязвимость в Log4j 2. Проблемы в Log4j затрагивают 8%..."	–1 +/–
	Сообщение от Ordu (ok), 20-Дек-21, 10:37
	>> переползать ... Это может занять до полугода > А, может, надо не переползать, а бежать? Тогда быстрее будет. Тебе нужна стабильность или скорость? Тут ситуация такая, что чем быстрее бежишь, чем дольше выходит. Программирование требует от программиста, чтобы тот _думал_ _головой_. А мышление требует времени. Те кто бежит -- те не думают, они пытаются решить проблему брутфорсом. Это работает ровно до тех пор, пока оно не перестаёт работать, и вот после этого уже не остаётся никакого выбора, кроме как выкинуть результат и начать заново. > Были времена, > когда за год писали язык программирования + ось. Да, и Солнце было ярче, и память меряли в килобайтах. И те оси ничего не умели по сегодняшним меркам, и, соответственно, никому не нужны сегодня. Некоторые из языков программирования остались, но если ты присмотришься, они остались вовсе не потому, что нельзя сделать лучше, а потому, что переползать на новые и более подходящие для задачи языки сложнее, чем продолжать пользоваться убогими.
	Ответить | Правка | Наверх | Cообщить модератору

	108. "Третья уязвимость в Log4j 2. Проблемы в Log4j затрагивают 8%..."	+/–
	Сообщение от Наме (?), 21-Дек-21, 10:35
	Хорошее ПО это прежде всего про деньги, а не про думающих программистов. Про очень большие деньги и длительные циклы возврата инвестиций. Т.е. хорошее ПО в нынешних экономических реалиях невозможно хотя бы по экономическим причинам.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема