Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Критическая 0-day уязвимость в Spring Framework, применяемом во многих Java-проектах, opennews (??), 31-Мрт-22, (0) [смотреть все] Жаба как обычно, самая безопасная Банально из-за сложности и многослойных нагро, Аноним (1), 10:22 , 31-Мрт-22, (1) +14 // Неа Дело в попытке быстро получить бизнес результат Поэтому халтурят во все лоп, А (??), 10:42 , 31-Мрт-22, (4) +4 // Как будто не под рутом что-то изменило бы У жабаприложения и так есть доступ , пох. (?), 10:56 , 31-Мрт-22, (6) +9 // Речь про отношение людей к теме Это может и да, если всё в целом А про рута ист, А (??), 11:02 , 31-Мрт-22, (9) –1 Ну потому что правда ни от чего не поможет и только займет лишнее время Обычно , пох. (?), 12:55 , 31-Мрт-22, (25) –1 А уметь-то умеют Только это ж работу работать надо А на улице - весна , A (?), 14:55 , 31-Мрт-22, (55) Не умеют В гугле искать умеют - но это ж искать надо, а там спринт не ждет На , пох. (?), 16:24 , 31-Мрт-22, (64) ой, извини сглазил Нашли они в гугле, пока я тебе предыдущее писал как , пох. (?), 16:28 , 31-Мрт-22, (65) Получил root контейнера, а дальше с ним со делать В контейнере кроме jvm и при, Аноним (17), 11:58 , 31-Мрт-22, (17) –2 // Там всякие капабилити включены, конт привилегированный и прочие лёгкие способы , А (??), 12:02 , 31-Мрт-22, (18) Даже встречал как за своё выдают основную и первую идею контейнеризации и изоляц, А (??), 12:05 , 31-Мрт-22, (20) А в конфиге приложения - всё, что нужно для доступа к БД, с которой это приложен, YetAnotherOnanym (ok), 12:58 , 31-Мрт-22, (26) Поэтому я решил что конфиги - г-но, немедля поперекодить все так чтоб все сикрет, твой начальник (?), 14:15 , 31-Мрт-22, (42) Пральна, и каждый день выпускать апдейт, в котором всё будет в новых местах, что, YetAnotherOnanym (ok), 14:34 , 31-Мрт-22, (49) Но пароли будут всегда старые, потому что не все те места удается найти и поменя, пох. (?), 16:29 , 31-Мрт-22, (66) так это же не зависит от того root там или не root Всё самое ценное будет досту, Аноним (67), 16:42 , 31-Мрт-22, (67) дык Эспертам опеннета это понимание чуждо Другой вопрос, правда, в том, что чер, пох. (?), 17:27 , 31-Мрт-22, (71) Т е фактически вы своим постом подтвердили, что жаба тотальный легаси Дело был, Брат Анон (ok), 14:13 , 31-Мрт-22, (41) +1 Стандартная история с рефлексией-десериазилацией Такое безопасно делать только , Аноним (27), 12:59 , 31-Мрт-22, (27) Спасибо г-споди, что я с этим больше не работаю , name (??), 10:35 , 31-Мрт-22, (2) // А с чем работаете , vellkira (?), 10:48 , 31-Мрт-22, (5) // не с этим, Аноним (14), 11:38 , 31-Мрт-22, (14) +1 С лопатой на стройке, Аноним (31), 13:13 , 31-Мрт-22, (31) +8 не воспроизвелось Так херово работает все, что даже эксплойты не работают, Анонимыч (?), 11:02 , 31-Мрт-22, (8) –1 Но ведь даже без учёта уязвимостей - жаба тормозная и жручая Кто в здравом уме , YetAnotherOnanym (ok), 11:06 , 31-Мрт-22, (10) –4 // Производители железа одобряют, Аноним (12), 11:16 , 31-Мрт-22, (12) +4 зайдите на хх ру да спросите у всех тамошних работодателей из сферы ИТ, Аноним (15), 11:39 , 31-Мрт-22, (15) // Сейчас в результате февральских событий есть подозрение, что все это последие 30, Аноним (91), 00:00 , 05-Апр-22, (91) А она настолько была прогрессивнее Сей, что профит от того поборол Как написано , А (??), 11:39 , 31-Мрт-22, (16) +1 // Дак класс RC счетчика а смарт поинтеры в плюсах уже из коробки в сях можно нап, Аноним (91), 00:02 , 05-Апр-22, (92) // В синтаксисе Язык идеален для ОЧЕНЬ больших проектов, и наоборот, совершенно не, Z (??), 02:31 , 02-Май-22, (98) +1 Насчет жручести - может быть и правда, но тормоза - чистой воды фантастика В яв, Аноним (19), 12:04 , 31-Мрт-22, (19) +1   // 3000 одновременно залогиненых пользователей, каждый - на подсосе минимум одного , Аноним (22), 12:39 , 31-Мрт-22, (22) +1   // Целых 3 тысячи При том что стек который это держит скорее всего чуть более, чем, server_push (?), 14:05 , 31-Мрт-22, (38)   64к коннектов одновременно обрабатывали на нескольких томкатах, которые на одной, Анонимыч (?), 16:04 , 31-Мрт-22, (62)   а сессий десятки - сотни тысяч были и все летало на тормозной джаве Надо прос, Анонимыч (?), 16:10 , 31-Мрт-22, (63)   Дооо Уж мы сейчас как всю память в системе отхаваем, да все свои структуры да, YetAnotherOnanym (ok), 12:53 , 31-Мрт-22, (24) –3   // это просто у тебя код г-но Вот как надо правильно дорогая техподдержка - а че, пох. (?), 13:01 , 31-Мрт-22, (28)   Ага, LA за сотню, и когда очередь дойдёт до оом киллера - еще неизвестно , YetAnotherOnanym (ok), 13:06 , 31-Мрт-22, (30)   на яве пишут долгоиграющие приложения То, что он будет раз в месяц запускаться , Аноним (19), 13:20 , 31-Мрт-22, (32) +3   Вообще-то, кроме жабы на белом свете существуют не только php и python Ну да ла, YetAnotherOnanym (ok), 13:51 , 31-Мрт-22, (35) –4   Для корпоративных приложений кроме явы есть только сишарп, period А так да, для, Аноним (19), 13:58 , 31-Мрт-22, (36) +2   Ну да, ну да , YetAnotherOnanym (ok), 14:08 , 31-Мрт-22, (39) –3   Да есть, вообще-то, на белом свете один ЯП, специально созданный для написания н, YetAnotherOnanym (ok), 14:04 , 31-Мрт-22, (37) –3   // но ты про этот язык никому не расскажешь, верно А если и расскажешь, то выяснит, Аноним (19), 14:17 , 31-Мрт-22, (43) +4   Конечно нет, зачем людей смущать Вон как они бодро плюсуют свои каменты, в их м, YetAnotherOnanym (ok), 14:21 , 31-Мрт-22, (45) –2   ну тогда продолжай пребывать в воображаемом мирке, где изобрели серебряную пулю , Аноним (19), 14:30 , 31-Мрт-22, (47) +2   Имя, брат, имя Неужели эрланг богомерз богоподобный или эликсир, на нем наст, Аноним (82), 11:18 , 01-Апр-22, (82)   Не могу, обещал не говорить Но вобщем - те же яблоки, только в профиль , YetAnotherOnanym (ok), 23:41 , 01-Апр-22, (84)   Бежать немедленно с этой жабы, Аноним12345 (?), 11:26 , 31-Мрт-22, (13) // Дети всегда куда-то бегут Откуда-то или куда-то, неважно, направление задают экс, ms is a piece of s (?), 14:23 , 31-Мрт-22, (46) +2 Жаба это давно уже легаси сводящееся к поддержке и допилу под нужды Джуны нафиг, Смузихлёб (?), 12:06 , 31-Мрт-22, (21) –2 А к embedded tomcat не относится что-ли Только если war-ник и на отдельном Tomc, Аноним (23), 12:49 , 31-Мрт-22, (23) // However, if Spring is deployed using the Embedded Tomcat Servlet Container the c, An onymous (?), 21:03 , 01-Апр-22, (83) кто из опытных ушел из джавы в Го, как оно , WebBonobo (?), 13:01 , 31-Мрт-22, (29) // Я пытался подучить жабу как-то Что меня с первого же шага выбесило -- нужно прой, Брат Анон (ok), 14:18 , 31-Мрт-22, (44) +1 // Скорее всего разработка ПО это не твое Уж жаба-то проще сей и крестов Корпо-лопа, ms is a piece of s (?), 14:30 , 31-Мрт-22, (48) –2 // Угу, наверное ты прав Ответил главный эксперт блока по техническому развитию о, Брат Анон (ok), 15:18 , 31-Мрт-22, (58) +2 какая госкорпорация, такие и главные эксперты, Аноним (89), 15:31 , 04-Апр-22, (89) –3 Да Это трудная работа, писать код, в котором сложно отклониться от нужного И и, A (?), 14:54 , 31-Мрт-22, (54) –1 Большей шизофазии ппро джаву почти не встречал, Джавистсанитар (?), 15:37 , 31-Мрт-22, (60) –4 Когда java разрабатывалась utf-8 еще небыло Для внутренних строк используется е, Аноним (67), 16:54 , 31-Мрт-22, (69) –2 // это не аргумент питон например еще старше и прожувал эту проблему utf16 скорее, Аноним (86), 17:41 , 02-Апр-22, (86) +3 Жабка вышла в 95-ом utf-8 - в 1992-ом А используемый жабкой utf-16 - в 96-ом Но, Аноним (89), 15:28 , 04-Апр-22, (88) –1 Насколько нужно затупить чтобы такое написать , eugener (ok), 22:12 , 31-Мрт-22, (76) –4 // Нисколько Все файлы сохранял в UTF-8 кодировка по умолчанию , и компилятор не , Брат Анон (ok), 09:09 , 01-Апр-22, (79) +4 Походу в винде дело происходило У Java в винде кодировка по умолчанию как раз 1, eugener (ok), 09:25 , 01-Апр-22, (80) +1 Почему-то компилятору golang, или pyhon -- никакие кодировки указывать не надо , Брат Анон (ok), 14:40 , 03-Апр-22, (87) +3 Проблема с УТФ-8 в консоли винды 8211 бага самой винды, а не джавы Проблема , Z (??), 02:02 , 02-Май-22, (95) // Ещё раз внимательно читаем текст При чём тут консоль При чём тут венда utf8 -, Брат Анон (ok), 12:41 , 02-Май-22, (99) Игого корпо-лопатен на уровне генетики Crystal прямой ему конкурент и заменитель, ms is a piece of s (?), 14:34 , 31-Мрт-22, (50) Попробуй свой собственный ямл конфиг распарсить, со своей сложной схемой Хоро, A (?), 15:01 , 31-Мрт-22, (56) Попробуй свой собственный ямл конфиг распарсить, со своей сложной схемой Хоро, A (?), 15:01 , 31-Мрт-22, (57) Проверил, на пашет если сервисы сделаны норм и разрешено только то, что разрешен, Аноним (34), 13:50 , 31-Мрт-22, (34) Еда Есть в конторе бизнесовое приложение Дико важное бизнесу Пилят типа ми, Funkey_33333 (?), 14:10 , 31-Мрт-22, (40) +3 // Бежать без оглядки надо из такой конторы Работа должна приносить удовольствие, , Z (??), 02:11 , 02-Май-22, (96) +1 Запускающим java приложения из под рута должны выдаваться трудовые книжки Адеква, ms is a piece of s (?), 14:41 , 31-Мрт-22, (51) // Уязвимости класса privilege elevation находят довольно часто, про них часто в но, Фняк (?), 17:27 , 04-Апр-22, (90) Вы из какого года вещание Трудовые книжки сейчас остались лишь в госучреждениях, Z (??), 02:13 , 02-Май-22, (97) +1 Любителям тащить в рот всё новое посвящается , Аноним (52), 14:47 , 31-Мрт-22, (52) +1 А кто-то использует что-то новее JAVA8 для серьезных задач Там где легаси и коп, IdeaFix (ok), 15:26 , 31-Мрт-22, (59) +2 // На уже предыдущей работе использовали java 11, что openjdk Собирались java 13, , Stanislavvv (?), 15:47 , 31-Мрт-22, (61) –1 // А какой смысл использовать не LTS У нее же срок поддержки пол года, пока что-то, Аноним (67), 16:57 , 31-Мрт-22, (70) JDK 11 она LTS и много где давно уже используется Через год можно будет уже 17 и, ms is a piece of s (?), 16:53 , 31-Мрт-22, (68) почти все вакансии во всяких криптостартапах, яндексы, тупкофф и остальном подоб, лютый жабби__ (?), 18:10 , 31-Мрт-22, (73) // Поддерживаю несколько легаси проектов моё легаси еще поддерживается разработчик, IdeaFix (ok), 21:48 , 31-Мрт-22, (75) // поискал бы нормальную работу а я уже накатил 2 6 6 и забыл хотя у нас только , лютый жабби__ (?), 23:03 , 31-Мрт-22, (77) Хз, мне нравится к тому же, поддержка легаси - это скорее дополнительное на п, IdeaFix (ok), 13:31 , 02-Апр-22, (85) Предложенное решение НЕ сработает условие внутри матчера patternMatchUtils не , Аноним (72), 17:30 , 31-Мрт-22, (72) 1,2,8,10,13,21,23,29,34,40,51,52,59,72

Сообщения

[Сортировка по времени | RSS]

	19. "Критическая 0-day уязвимость в Spring Framework, применяемом..."	+1 +/–
	Сообщение от Аноним (19), 31-Мрт-22, 12:04
	> тормозная и жручая Насчет жручести - может быть и правда, но тормоза - чистой воды фантастика. В яве тормозили только т.н. "ява-аплеты" (были популярны до того, как ты родился) и свинг. А серверная ява довольно шустра и всего в полтора раза медленнее плюсов (всякие пихтоны и пыхи -- на порядки порядков порядков медленнее плюсов). Любой, находящийся в здравом уме, предпочтет использовать уже состоявшуюся Платформу со стандартами на все случаи жизни вместо того, чтобы изобретать квадратное колесо в пихтонах/пыхах. Таких платформ сейчас всего две - сишарп и ява. Сишарп отбросим за его проприетарность. Остается только ява. Но на пихтонах/пыхах все еще можно клепать гостевухи -- там, где производительность не важна. Эта гостевуха блестяще справится с двумя-тремя пользователями в месяц.
	Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

	22. "Критическая 0-day уязвимость в Spring Framework, применяемом..."	+1 +/–
	Сообщение от Аноним (22), 31-Мрт-22, 12:39
	> Но на пихтонах/пыхах все еще можно клепать гостевухи -- там, где производительность не важна. Эта гостевуха блестяще справится с двумя-тремя пользователями в месяц. 3000 одновременно залогиненых пользователей, каждый - на подсосе минимум одного вебсоскета. И всё это держит один пихтон-контейнер, ибо больше и не надо. Просто справляется и всё. Я сам не фанат пихтонов, пыхов и прочих жабогадюк, но попросил бы тебя не болтать ерундой при людях.
	Ответить | Правка | Наверх | Cообщить модератору

	38. "Критическая 0-day уязвимость в Spring Framework, применяемом..."	+/–
	Сообщение от server_push (?), 31-Мрт-22, 14:05
	> 3000 одновременно залогиненых пользователей, каждый - на подсосе минимум одного вебсоскета Целых 3 тысячи! При том что стек который это держит скорее всего чуть более, чем полностью сишный По секрету скажу что любой асинхронный jvm фреймворк у которого на github хотя бы 100 звездочек будет держать и 100к websocket А те кто тюнит джаву получал 12 млн еще в 2013 году https://migratorydata.com/blog/migratorydata-with-12-million.../
	Ответить | Правка | Наверх | Cообщить модератору

	62. "Критическая 0-day уязвимость в Spring Framework, применяемом..."	+/–
	Сообщение от Анонимыч (?), 31-Мрт-22, 16:04
	64к коннектов одновременно обрабатывали на нескольких томкатах, которые на одной тачке стояли. Обрабатывали бы и сильно больше, но обычно необходимости не было, поэтому роутер никто не менял. Еще помню, заказчик часть сервисов отдал пихтонистам и пыхыпешникам - те даже запросы подписывать и расшифровывать не умели, приходилось за них все делать.
	Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

	63. "Критическая 0-day уязвимость в Spring Framework, применяемом..."	+/–
	Сообщение от Анонимыч (?), 31-Мрт-22, 16:10
	а сессий десятки - сотни тысяч были и все летало на "тормозной" джаве. Надо просто писать нормально, тогда и лагать ничего не будет и ресурсов будет хватать на все. В том же постгресе миллиарды записей было, но мы даже на гибернейте работали с ним и нагружали одно ядро всего. Просто надо было запросы все оптимизировать, бд затюнить и кэши на серваке нормально настроить. А если писать кривыми руками, то вам и один пользователь сервак положить сможет
	Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

	24. "Критическая 0-day уязвимость в Spring Framework, применяемом..."	–3 +/–
	Сообщение от YetAnotherOnanym (ok), 31-Мрт-22, 12:53
	> серверная ява довольно шустра Дооо... Уж мы сейчас как всю память в системе отхаваем, да все свои структуры данных как проинициализируем, да кэши как прогреем, да после этого как попрём, как попрём, так попрём, что о-го-го, как попрём, ой, что-то как-то всё тормозить стало, ой памяти не хватает, ой, для свопа уже раздела не хватает, ой, всё раком встало, даже оом киллер не успел нашу шуструю серверную жабу пристрелить.
	Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

	28. "Критическая 0-day уязвимость в Spring Framework, применяемом..."	+/–
	Сообщение от пох. (?), 31-Мрт-22, 13:01
	> ой, что-то как-то всё тормозить стало, ой памяти не хватает, ой, > для свопа уже раздела не хватает, ой, всё раком встало, даже > оом киллер не успел нашу шуструю серверную жабу пристрелить. это просто у тебя код г-но. Вот как надо правильно: "дорогая техподдержка - а чего это у нас через некоторое время работы вашего [очень ентер-прайсный протухт] он выжырает все выделенные жабовм терабайты, после чего начинает жрать еще и процессор как не в себя, так что и пристрелить его почти невозможно? - А это потому что когда у нас память кончается, автоматически запускается GC, шерстящий все эти понавыделенные терабайты. И чем больше их понавыделено тем медленнее он их перебирает. А поскольку памяти от этого нихрена не прибавляется - мы ему в подмогу запускаем еще один. И еще. И еще. Вот, теперь вам хорошо - у вас не только памяти нет, но и процессорные ядра все заняты непойми чем!"
	Ответить | Правка | Наверх | Cообщить модератору

	30. "Критическая 0-day уязвимость в Spring Framework, применяемом..."	+/–
	Сообщение от YetAnotherOnanym (ok), 31-Мрт-22, 13:06
	Ага, LA за сотню, и когда очередь дойдёт до оом киллера - еще неизвестно ))
	Ответить | Правка | Наверх | Cообщить модератору

	32. "Критическая 0-day уязвимость в Spring Framework, применяемом..."	+3 +/–
	Сообщение от Аноним (19), 31-Мрт-22, 13:20
	> свои структуры данных как проинициализируем, да кэши как прогреем на яве пишут долгоиграющие приложения. То, что он будет раз в месяц запускаться секунд 10 - не важно, это же твой IИDEX.рнр, запускающийся с полного нуля при каждом запросе. > всю память в системе отхаваем не позорься, погугли про Xmx/Xms и возвращайся править IИDEX.рнр (напрямую через FTP естессно, и не забудь в битриксе активировать режим проактивной защиты).
	Ответить | Правка | К родителю #24 | Наверх | Cообщить модератору

	35. "Критическая 0-day уязвимость в Spring Framework, применяемом..."	–4 +/–
	Сообщение от YetAnotherOnanym (ok), 31-Мрт-22, 13:51
	Вообще-то, кроме жабы на белом свете существуют не только php и python. Ну да ладно, не буду тебя грузить ненужностями.
	Ответить | Правка | Наверх | Cообщить модератору

	36. "Критическая 0-day уязвимость в Spring Framework, применяемом..."	+2 +/–
	Сообщение от Аноним (19), 31-Мрт-22, 13:58
	Для корпоративных приложений кроме явы есть только сишарп, period. А так да, для твоих хелловорлдов и HQ9+ сойдет.
	Ответить | Правка | Наверх | Cообщить модератору

	39. "Критическая 0-day уязвимость в Spring Framework, применяемом..."	–3 +/–
	Сообщение от YetAnotherOnanym (ok), 31-Мрт-22, 14:08
	Ну да, ну да...
	Ответить | Правка | Наверх | Cообщить модератору

	37. "Критическая 0-day уязвимость в Spring Framework, применяемом..."	–3 +/–
	Сообщение от YetAnotherOnanym (ok), 31-Мрт-22, 14:04
	> Остается только ява Да есть, вообще-то, на белом свете один ЯП, специально созданный для написания неубиваемого ПО, главным образом серверного, разрабы которого в своё время на вопрос "как ваш язык справляется с проблемой 10к соединений" удивлённо ответили "а разве 10к соединений - это проблема?", но ты не обращай внимания, забей, правило "меньше знаешь - крепче спишь" никто не отменял.
	Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

	43. "Критическая 0-day уязвимость в Spring Framework, применяемом..."	+4 +/–
	Сообщение от Аноним (19), 31-Мрт-22, 14:17
	но ты про этот язык никому не расскажешь, верно? А если и расскажешь, то выяснится, что "серверное ПО" и "корпоративное ПО" - это, мягко говоря, разные вещи, и требования к ним существенно отличаются.
	Ответить | Правка | Наверх | Cообщить модератору

	45. "Критическая 0-day уязвимость в Spring Framework, применяемом..."	–2 +/–
	Сообщение от YetAnotherOnanym (ok), 31-Мрт-22, 14:21
	Конечно нет, зачем людей смущать? Вон как они бодро плюсуют свои каменты, в их мире всё стройно, гармонично и однозначно, зачем им его ломать?
	Ответить | Правка | Наверх | Cообщить модератору

	47. "Критическая 0-day уязвимость в Spring Framework, применяемом..."	+2 +/–
	Сообщение от Аноним (19), 31-Мрт-22, 14:30
	ну тогда продолжай пребывать в воображаемом мирке, где изобрели серебряную пулю "убийцу явы, сишарпа, сишки, неба, и вообще всего"
	Ответить | Правка | Наверх | Cообщить модератору

	82. "Критическая 0-day уязвимость в Spring Framework, применяемом..."	+/–
	Сообщение от Аноним (82), 01-Апр-22, 11:18
	Имя, брат, имя! Неужели эрланг богомерз... богоподобный или эликсир, на нем настоянный?
	Ответить | Правка | К родителю #37 | Наверх | Cообщить модератору

	84. "Критическая 0-day уязвимость в Spring Framework, применяемом..."	+/–
	Сообщение от YetAnotherOnanym (ok), 01-Апр-22, 23:41
	Не могу, обещал не говорить. Но вобщем - те же яблоки, только в профиль.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема