Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Ещё одна уязвимость в Log4j 2. Проблемы в Log4j затрагивают 8% Maven-пакетов, opennews (??), 18-Дек-21, (0) [смотреть все] Те, у кого по какой-то причине до сих пор нигде нет жавы во все щели, выдохнули , Аноним (1), 23:43 , 18-Дек-21, (1) +41 // По апач продуктам вообще не страдаю, не пользуюсь совсем , Аноним (21), 03:45 , 19-Дек-21, (21) // Apache Kafka смеётся тебе в лицо , Аноним (54), 14:17 , 19-Дек-21, (54) –1 // Есть redpanda, Аноним (55), 14:25 , 19-Дек-21, (55) Только у тебя А у нас в далеко не мелкой конторе -- кафка , Брат Анон (ok), 18:32 , 19-Дек-21, (60) +1 Снимем шляпу, помянем , Заноним (?), 21:56 , 19-Дек-21, (66) А log4j у вас есть Большому кораблю - большую торпеду , Аноним (-), 08:03 , 24-Дек-21, (120) Что за хрень и почему её у меня ещё нет , Аноним (21), 20:19 , 19-Дек-21, (61) Угу Пара аппликух есть, но всё Not Affected, судя по приведённому листу, да и в, Онаним (?), 07:07 , 19-Дек-21, (26) +1 У меня Ignition, правда он всё равно только через ssh доступен , commiethebeastie (ok), 10:04 , 19-Дек-21, (34) Да успокойтесь Не все используют log4j2, и не всех оно касается даже из тех, кт, Аноним (39), 10:49 , 19-Дек-21, (39) +3 // У меня нет дыры, у меня нет дыры , - это такая новая молитва, что ли , Аноним (21), 20:25 , 19-Дек-21, (62) –2 // Нет Здравый расчёт и понимание архитектуры своих приложений и используемых ими , Аноним (39), 17:36 , 20-Дек-21, (94) +1 - - -j , жорик (?), 23:02 , 21-Дек-21, (114) –1 code - - -j code , жорик (?), 23:02 , 21-Дек-21, (115) Ну логично, в принципе После нахождения уязвимости каждый старается по максимум, zloykakpes (ok), 23:46 , 18-Дек-21, (2) –2 // Спекулятивное выполнение уже стало пуленепробиваемым после всей той истори , Аноним (5), 00:23 , 19-Дек-21, (5) +16 Fixed, Онаним (?), 09:48 , 19-Дек-21, (31) +4 Или все плюнут на неё и просто будут использовать другой логгер Благо, переходн, Аноним (39), 10:50 , 19-Дек-21, (40) –1 // Отлично, а они эти чудные выражовывания реализуют И если да, то они это секурно, Аноним (-), 08:04 , 24-Дек-21, (121) У log4j архитектор умственно отсталый, как и персонажи прикатывающие этот хлам с, all_glory_to_the_hypnotoad (ok), 13:33 , 19-Дек-21, (52) +2 // покажи свой неумственноотсталый log4j , Аноним (-), 17:01 , 19-Дек-21, (58) // Сначала добейся с , Аноним (21), 20:41 , 19-Дек-21, (64) +1 Потому что нужно стараться делать в рамках кодовой базы SE или ЕЕ, а не тянуть в, Наме (?), 11:31 , 20-Дек-21, (78) syslog, слушает 514 udp, если rsyslog, то еще и tcp можно настроить, для гаранти, andy (??), 21:03 , 20-Дек-21, (99) Астрологи объявили неделю уязвимостей Log4j, Аноним (3), 23:55 , 18-Дек-21, (3) +19 // астрологи из DARPA наверное, x3who (?), 00:22 , 19-Дек-21, (4) +5 Хороший однако ящик Пандоры открыли в этом году, Аноним (6), 00:31 , 19-Дек-21, (6) +1 // Кто сказал, что им не пользовались в предыдущих годах , Аноним (21), 00:41 , 19-Дек-21, (9) +1 // Ну так открыли то в этом, Аноним (24), 04:36 , 19-Дек-21, (24) // Так сказать, уведомили, что давно вертели вас на , Аноним (21), 08:15 , 19-Дек-21, (28) +4 Майки выкатили кор 6, им нужно потолкаться на уже сложившемся рынке Вот и откр, Наме (?), 11:33 , 20-Дек-21, (80) –1 // Как консервы могут протухнуть Они же закрыты от внешней среды, Аноним (110), 13:39 , 21-Дек-21, (110) С нормальными политиками fw исходящего траффика с продакшена риски можно заметно, Аноним (7), 00:39 , 19-Дек-21, (7) +2 // Почти всегда DNS-трафик разрешен, т к нужен Пихаешь данные в base64 и отправля, Аноним (47), 11:41 , 19-Дек-21, (47) // Правильно настроенный fw не ограничивается tcp udp портами in out Все пихания да, Аноним (7), 15:09 , 19-Дек-21, (57) JNDI-запрос это не DNS-запрос , Наме (?), 11:34 , 20-Дек-21, (81) // - если в качестве реестра не используется DNS-сервер, что возможно Выпендрился , MVK (??), 13:01 , 20-Дек-21, (87) а что это за Log4j , Аноним (10), 00:57 , 19-Дек-21, (10) +4 // Log4j 8212 сторонняя библиотека логирования В самой Java JRE JDK есть собств, iZEN (ok), 01:30 , 19-Дек-21, (12) +1 // Спринг использует логфоджи в зависимостях , Наме (?), 12:41 , 20-Дек-21, (86) // Сам Спринг spring-core зависит от JCL, а в Spring Boot spring-boot-starter-lo, Аноним (96), 19:33 , 20-Дек-21, (96) Библиотека для троянов Это надо же наумиться надо было разыменовывать внешние с, Аноним (21), 03:47 , 19-Дек-21, (22) +4 Leftpad, A.N. Onimous (?), 22:38 , 26-Дек-21, (123) Нужно валидировать данные которые записываешь в лог А ещё нужно делать обесклычи, Аноним (11), 01:24 , 19-Дек-21, (11) // Давным-давно в телеграммах писали так приеду завтра зпт встречайте тчк Это т, Аноним (21), 03:49 , 19-Дек-21, (23) +4 // Тчк зпт использовалось не потому что программисты индусы и не хотят записи в лог, Аноним (11), 14:25 , 21-Дек-21, (111) –1 И какая там валидация должна быть Нужно было код библиотеки прочитать и понять,, Аноним (68), 03:41 , 20-Дек-21, (68) +1 Сглаживает Это как бы основная версия жавы в продакшене В жаве 9 сломали обр, Wilem82 (ok), 02:14 , 19-Дек-21, (14) +9 // кто в трезвом уме и здравой памяти будет переводить прод на java 9 , Тинус Лорвальдс (ok), 02:28 , 19-Дек-21, (15) +2 // Её поддержка уже один раз чуть не закончилась Но она таки когда-нибудь закончит, Wilem82 (ok), 02:38 , 19-Дек-21, (16) +4 // с каких пор поддержка джавы 9 не закончилась она закончилась с выходом джавы 10, Тинус Лорвальдс (ok), 18:39 , 22-Дек-21, (119) Ни разу не было проблем с миграцией на LTS На Java 11 все отлично мигрируется , Аноним (17), 02:40 , 19-Дек-21, (17) –3 // Что такое отлично Это когда ничего делать не надо, просто заменяешь 8 на 11 и, Wilem82 (ok), 02:51 , 19-Дек-21, (18) +1 // Отлично от миграции с 2 на 3 питон проекта сложнее Hello World , Вася (??), 03:01 , 19-Дек-21, (19) Мы уже на Java 17 перешли, но нам проще, поскольку проект новый А вы активно ис, zog (??), 09:14 , 19-Дек-21, (30) +5 При чём тут мы Этим всем пользуются популярные библиотеки Перестают они этим, Wilem82 (ok), 15:08 , 19-Дек-21, (56) +3 Можете привести пример таких экзотических библиотек Что-то мне ни разу такие не, Аноним (90), 13:18 , 20-Дек-21, (90) Экзотические библиотеки с обратной несовместимостью при смене мажорной версии ht, Wilem82 (ok), 17:58 , 22-Дек-21, (118) Там всего несколько мест на самом деле которые поменялись и могут сломать систем, Аноним (90), 13:15 , 20-Дек-21, (89) Да-да-да Эталонные JEE работают только на 8-ке , Наме (?), 11:36 , 20-Дек-21, (82) // - это Вы книге какого года издания прочли , MVK (??), 13:05 , 20-Дек-21, (88) Пятая Рыба работает стабильно только на 8-ке Для этого и книг никаких не надо , Наме (?), 15:36 , 20-Дек-21, (93) - дружище, зачем пятая то Eclipse GlassFish 6 2 3 - вышел в ноябре и с версии 6, MVK (??), 20:47 , 20-Дек-21, (98) GlassFish был эталоном 10 лет назад на сановских наработках Но зачем его сейчас, Аноним (-), 23:15 , 20-Дек-21, (103) Рыбы как были эталонной реализацией, так ею и остаются 6-тая ветка пока не стан, Наме (?), 10:08 , 21-Дек-21, (106) - брехня какая то jakarta ee compatibility tab-9И 6й GlassFish и WildFly 23 пр, MVK (??), 11:31 , 21-Дек-21, (109) А при чём здесь Spring В Spring Boot по-умолчанию log4j не используется А вот , Аноним (-), 11:17 , 22-Дек-21, (116) Растаманы, где вы Как это починить самым безопасным языком в мире , Аноним (21), 03:43 , 19-Дек-21, (20) –1 // У растоманов шаблоны падают на этапе копиляции, а не в продакшене , Cucumber (?), 06:43 , 19-Дек-21, (25) // Потому-то они ничего написать не могут , Аноним (21), 08:13 , 19-Дек-21, (27) –6 У растоманов логи с продакшена собираются на этапе компиляции , Andrey (??), 08:24 , 19-Дек-21, (29) +7 Няша, ты ещё регулярные выражения не видел А как увидишь, сразу седым станешь , Аноним (11), 09:55 , 19-Дек-21, (32) –2 // И в регулярных выражениях тоже могут быть зацикливания, Аноним (11), 09:57 , 19-Дек-21, (33) –2 aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa p s это не то что вы подумали, это , Аноним (-), 08:05 , 24-Дек-21, (122) И вам доброго утречка, Евгений Ваганович , Прохожий (??), 10:39 , 19-Дек-21, (38) кто может толково объяснить почему этот log4j все пытаются патчить, а не заменя, Аноним (35), 10:16 , 19-Дек-21, (35) +1 // Потому что пропатчить дешевле, чем заменить Ваш Кэп , Прохожий (??), 10:37 , 19-Дек-21, (37) +1 // пока не получается - всё новые и новые дыры получаются , Аноним (21), 10:53 , 19-Дек-21, (41) +2 По десять раз накатывать это шерето и оно до сих пор уязвимо Там уже украли всю, Аноним (45), 11:38 , 19-Дек-21, (45) Потому что не в курсе, что есть адаптеры на другие логгеры - http logback qos , Аноним (39), 10:53 , 19-Дек-21, (42) Да, я могу объяснить 1 Я сомневаюсь, что _все_ пытаются патчить, _вместо_ того,, Ordu (ok), 01:22 , 20-Дек-21, (67) // А, может, надо не переползать, а бежать Тогда быстрее будет Были времена, когд, Аноним (21), 08:17 , 20-Дек-21, (72) +1 // Тебе нужна стабильность или скорость Тут ситуация такая, что чем быстрее бежишь, Ordu (ok), 10:37 , 20-Дек-21, (77) –1 Хорошее ПО это прежде всего про деньги, а не про думающих программистов Про оче, Наме (?), 10:35 , 21-Дек-21, (108) Причина простая Увы, большинство крупных проектов на Жабе, мягко скажем, крайне, Наме (?), 11:42 , 20-Дек-21, (83) +1 // В любом более-менее современном пакетном менеджере для Java очень легко вырезать, Аноним (-), 23:19 , 20-Дек-21, (104)   // Может быть, но по-моему, не меняется он легко в проекте, которому лет дцать, и у, Наме (?), 10:17 , 21-Дек-21, (107)   gradle, maven, sbt, ivy, Откройте maven search и посмотрите - https search, Аноним (39), 19:11 , 21-Дек-21, (112)   exclusions exclusion -- declare the exclusion here -- , iZEN (ok), 19:18 , 21-Дек-21, (113)   configurations all exclude group log4j , module log4j PS нравится XML, Аноним (-), 11:21 , 22-Дек-21, (117)   - - -j , Аноним (49), 13:19 , 19-Дек-21, (49) // толстый троллинг, Аноним (51), 13:28 , 19-Дек-21, (51) cat test test test 124 perl -e s s s s - - 124 , Аноним (63), 20:30 , 19-Дек-21, (63) +1 // 124 124 124 124 124 124 124 124 124 124 , xrensgory (?), 21:14 , 19-Дек-21, (65) +2 Вот это и есть opensource эффект миллиона глаз В популярном пакете нашлась дыра, pda (ok), 18:05 , 19-Дек-21, (59) // что-то из серии Как за дешево провести аудит безопасности , Аноним (69), 07:45 , 20-Дек-21, (69) Кто конкретно внёс указанную уязвимость С современными системами контроля верси, Аноним (70), 08:11 , 20-Дек-21, (70) +1 // Ты даже и MS не привлечёшь, таков путь , Аноним (21), 08:13 , 20-Дек-21, (71) А почему ты обходишь такой вопрос что ты можешь сам поиском найти коммиты и во в, Аноним (75), 10:04 , 20-Дек-21, (75) +1 Похоже я узнал о существовании чего-то о чём мне не стоило знать , Аноньимъ (ok), 08:20 , 20-Дек-21, (73) // Да факт существования такой защиты это секрет Не стоит вскрывать эту тему Ты м, Аноним (75), 10:07 , 20-Дек-21, (76) +1 глубина рекурсии, Sw00p aka Jerom (?), 11:32 , 20-Дек-21, (79) +1 Наверное еще и логи бинарные у этого говна , Аноним (74), 09:06 , 20-Дек-21, (74) +4 // Бинарные Это ущемляет интересы меньшинств , Аноним (84), 11:51 , 20-Дек-21, (84) +3 Как не стыдно такое говорить Логов - множество разновидностей гомонарные, лезб, Аноним (21), 00:56 , 21-Дек-21, (105) Жаба уже никогда не будет прежней, Аноним12345 (?), 12:40 , 20-Дек-21, (85) +2 1,2,3,6,7,10,11,14,20,35,49,59,70,73,74,85

Сообщения

[Сортировка по времени | RSS]

	104. "Третья уязвимость в Log4j 2. Проблемы в Log4j затрагивают 8%..."	+/–
	Сообщение от Аноним (-), 20-Дек-21, 23:19
	В любом более-менее современном пакетном менеджере для Java очень легко вырезать ненужные зависимости. И даже полная перепаковка со сборкой нужных классов для Java не проблема. log4j2 заменяется переходником на slf4j, и всё. В том то и дело, что проблема очень странная. Зачем так держаться за log4j2? Кто использует какие-то фичи из него, которых не хватает в slf4j?
	Ответить | Правка | Наверх | Cообщить модератору

	107. "Третья уязвимость в Log4j 2. Проблемы в Log4j затрагивают 8%..."	+/–
	Сообщение от Наме (?), 21-Дек-21, 10:17
	Может быть, но по-моему, не меняется он легко в проекте, которому лет дцать, и у которого за это время группа разработки менялась сто раз. Это адский гемор. В любом "пакетном менеджере" )))) Это в каком же? Везде maven. Вы знаете ещё какие-то? У шибко продвинутых bnd. Где-то в пыли gradle и ant.
	Ответить | Правка | Наверх | Cообщить модератору

	112. "Третья уязвимость в Log4j 2. Проблемы в Log4j затрагивают 8%..."	+/–
	Сообщение от Аноним (39), 21-Дек-21, 19:11
	gradle, maven, sbt, ivy, ... Откройте maven search и посмотрите - https://search.maven.org/artifact/org.springframework/spring... И да, если в maven что-то сделать - это ужас-ужас, то в gradle чужие зависимости исключаются простым exclude. Как, впрочем, и миграция с maven на gradle в большинстве случаев проблем не вызывает. Но если вам нравится садомазо, то технически можете и в maven поправить.
	Ответить | Правка | Наверх | Cообщить модератору

	113. "Третья уязвимость в Log4j 2. Проблемы в Log4j затрагивают 8%..."	+/–
	Сообщение от iZEN (ok), 21-Дек-21, 19:18
	> gradle, maven, sbt, ivy, ... Откройте maven search и посмотрите - https://search.maven.org/artifact/org.springframework/spring... > И да, если в maven что-то сделать - это ужас-ужас, то в > gradle чужие зависимости исключаются простым exclude.       <exclusions>         <exclusion>  <!-- declare the exclusion here -->           <groupId>sample.ProjectB</groupId>           <artifactId>Project-B</artifactId>         </exclusion>       </exclusions> > Как, впрочем, и миграция с > maven на gradle в большинстве случаев проблем не вызывает. Но если > вам нравится садомазо, то технически можете и в maven поправить. Можем использовать == используем. Садомазо с Gradle сами занимайтесь.
	Ответить | Правка | Наверх | Cообщить модератору

	117. "Третья уязвимость в Log4j 2. Проблемы в Log4j затрагивают 8%..."	+/–
	Сообщение от Аноним (-), 22-Дек-21, 11:21
	configurations.all {     exclude group: "log4j", module: "log4j" } PS: нравится XML-программирование - пользуйтесь. Обычно люди хотят иметь удобный и надёжный инструмент....
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема