На сайте с информацией о взломе Equifax, в результате которого произошла (https://www.opennet.ru/opennews/art.shtml?num=47170) утечка персональных данных 44% населения США, появилось (https://www.equifaxsecurity2017.com/) подтверждение сведений, что для атаки была применена уязвимость CVE-2017-5638 (https://www.opennet.ru/opennews/art.shtml?num=46167). Данная уязвимость была устранена в мартовском обновлении Apache Struts, в то время как атака на Equifax была проведена с мая по июль, т.е. причиной взлома стала халатность персонала, которые не установили обновление с исправлением критической уязвимости.
Примечательно, что в аргентинском отделении Equifax выявлена (https://krebsonsecurity.com/2017/09/ayuda-help-equifax-has-m... ещё более знаковая оплошность - оказалось, что на портал для сотрудников Equifax, предназначенный для управления кредитными спорами, можно было войти при помощи логина/пароля admin/admin. Воспользовавшись данной учётной записью исследователям удалось получить персональные данные о всех сотрудниках аргентинского отделения и сведения о более 14 тысячах кредитных спорах, в которых приведены персональные данные получателей кредитов (в том числе телефонам и DNI (https://en.wikipedia.org/wiki/Documento_Nacional_de_Identida.... Более того, были получены сведения о паролях сотрудников в данной системе, которых хранились открытым текстом и (!) совпадали с фамилией пользователя (т.е. зная фамилию сотрудника, можно было получить доступ к его аккаунту).
URL: https://www.theregister.co.uk/2017/09/14/missed_patch_caused.../
Новость: https://www.opennet.ru/opennews/art.shtml?num=47198
Работает, не трожь!
Вот если бы ещё взломщики уважали этот принцип и не ломали то, что работает:)
а когда это они роняли, если тока специально, они же профи
так мы ничего вроде и не сломали, три месяца все ж нормально было, чего он вообще-то всполошились?
У суровых корпорастов это сплошь и рядом - год на согласование всего и вся для апдейта - ни разу не предел. Мастодонты неповоротливые.
> У суровых корпорастов это сплошь и рядом - год на согласование всего
> и вся для апдейта - ни разу не предел. Мастодонты неповоротливые.а полезешь без согласования и оно не сразу поднимется - кто будет компенсировать компании пару лямов $$ прямых убытков и еще всякую упущенную прибыль и моральный ущерб?
А так - вроде никто и не виноват, оносамо и злыехакеры.
>> полезешь без согласования и оно не сразу подниметсяДля этого существуют песочницы, — модельные окружения
песочница в общем-то тоже не панацея - дает гарантированный ответ "нет". Если в ней рассыпалось - значит, на прод нельзя. А гарантированного "да" она дать, увы, не может.
особенно, если, как раз по соображениям безопасности (или тупо из-за размера), тестовая среда не может работать с полноценной копией реальных данных.так шта, ну его в пень, апгрейдиться. "разведка без приказа - это называется дезертирство. Пуля в голову, вот награда за такое."
Увидел на опеннете "обнаружена опасная уязвимость" - срочно закрой окно и очисть хистори.
так вот он какой тот самый 100% этерпрайз
какой-то слишком сложный пароль на админа ... почему не 1111 ?
Потому что "admin" запомнить легко, а 1111 нужно думать 4 единицы или 5 или там и не единицы вовсе...
> какой-то слишком сложный пароль на админа ... почему не 1111 ?спроси у разработчиков какого-нибудь очередного редмайна или что у них там "управляло кредитными спорами". Очевидно что это - дефолтный пароль, который после установки надо было поменять или заблокировать акаунт. Но, поскольку это - Аргентина, смешно было на такое надеяться.
Ну например у дефолтного пользователя БД ORACLE sys - дефолтный пароль CHANGE_ON_INSTALL.
Причём на половине установок, которые я видел, пароль пользователя SYSTEM меняют, а этот нет. Видимо считают шибко надёжным :-)
> Ну например у дефолтного пользователя БД ORACLEэтому пользователю двадцать или может даже тридцать лет - еще в шестом оракле такой пароль был. Сейчас такие сложные пароли - не стильно, не модно, и не молодежно - admin/admin наше всьо!
Заметьте, как творчески подошли к этому вопросу ребята из аргентинского офиса - они еще и юзверям сделали пароли, совпадающие с логином (видимо, им забыли рассказать, что это не поле валидации, и что туда, вообще-то, можно ввести что-нибудь другое)
Они не уделили должного внимания безопасности - появление проблем было вопросом времени. Те самые СБ и ОТК, которых никто не любит, занимаются как раз этим.Зачем это надо было писать? Какое отношение это имеет к опенсорсу?
Давно обратил внимание что после каждой критической ошибки в опенсорс коде, которая там годами, появляется полушутливая история о том что у других тоже всё плохо. Как тут не вспомнить Черчиля: "Мадам, я просплюсь и стану трезвым, а вы навсегда останетесь мерзкой дрянью".
СБ и ОТК частенько хотят ровно противополжное - "ничего не трогать, а то всё заново тестировать, а потом сертифицировать". Как раз через них пробиться ради апдейта - самое сложное. Собственно, примерно за это их и не любят - приоритеты там своеобразные, и ради довольно формальных штук мешают реализовывать осмысленные вещи.
Требуют тестировать код. Сво***чи!!!!А ты такой тяп-ляп и в продакшен. И пофиг на глюки.
Своеобразные такие приоритеты. Но лично мне их приоритеты нравятся больше.
> Те самые СБ и ОТК, которых никто не любит, занимаются как
> раз этим.если бы они везде и всегда только этим... или хотя бы промежду делом - этим. Впрочем, мы не знаем как эта шарашка устроена - возможно, они и кланялись, и приседали, и всего еще через пару месяцев третий старший заместитель четвертого директора по тарелочкам поставил бы нужную визу, и админы получили бы свои 15 минут на положить всю систему ради апгрейда. (потом бы выяснилось, что после апгрейда сломана совместимость с чем-то, и пришлось бы все равно все откатить как было ;-)
> Зачем это надо было писать? Какое отношение это имеет к опенсорсу?
ну так дырка-то, простите, в чем? Была бы дырка в хипстер-V - писать надо было бы на виндоресурсе.
добрым молодцам, типа, урок.
А всё потому что бизнес не предлагает безопасных и удобных решений. Каждое обновление ломает обратную совместимость, если не хуже. Вот ты используешься мозиллу. В ней находят баг. Думаешь тебе его поправят? Как бы не так. Обновляйся на новую версию, которая принесёт DRM, которая сломает твои плагины - или будешь торчать с уязвимостью. У тебя обнаружили уязвимость в винде. Думаешь, можешь её просто так закрыть? Как бы не так, для начала тебе надо будет обновиться до телеметрии.
> А всё потому что бизнес не предлагает безопасных и удобных решений.а бизнес-то тут с какого бока? struts - самый опенотсосный из опенотсосных, апач, бабки из воздуха и под нулевую ответственность.
и с мозиллой вас, собственно, что не устраивает? Опенсосие жеж - нашли баг (за тебя, замечу, нашли-то!) - бери и исправляй. А, опаньки, тоже слабо?
жопа как раз в том, что на фоне давления опенсорсного барахла, бизнес тоже уже переходит на такую же модель. Но первые начали вовсе не они. Кто-то вовсе не бизнесмен квакнул в свое время "стабильное ядро- то что в вашем дистрибутиве, а мне не мешайте парить духом".
Есть open source software а есть nominally open source software. Вот первое пишут для увеличения знания человечества, а второе - как средство зарабатывания денег, open source там - маркетинговый прием, а по факту кодом может пользоваться и модифицировать только core team потому что документация плохая, архитектура меняется каждый месяц. Хочешь пользоваться - придется плясать под дудку производителя, а на коммьюнити плевать.
> Есть open source software а есть nominally open source softwareну, в смысле, в /bin/ls каком-нибудь вы можете разобраться, а в мазиле - слабо?
Ну так никто ж не виноват.> Хочешь пользоваться - придется плясать под дудку производителя, а на коммьюнити плевать.
и всегда так было. И дело не только в том, что девелоперам некогда и вообще противно документировать свою писанину.
Первая публикация LARTC вызвала прямо шквал критики "все не так, вы нифига не поняли и вообще не надо было этого писать, раз не в теме". Что именно "не так" и как на самом деле - так и осталось загадкой, поскольку девелопер не соизволил поделиться сокровенным знанием. А это самое что ни есть ядро линукса, в основном развивавшееся тогда силами энтузиастов в свое личное время, а не на деньги редхатогугля, и вполне еще адекватный 2001й, наверное, год.
> в винде. Думаешь, можешь её просто так закрыть? Как бы не
> так, для начала тебе надо будет обновиться до телеметрии.и да, про винду вы, как обычно, в мурзилке прочитали. Это вот - пока еще относительно - бизнес. Отдельно обновления с телеметрией, отдельно - "monthly security-only". Последние, правда, либо по корпоративным каналам, либо вручную из "магазина". Ну так обычному пользователю оно низачем и не надо (он же потом будет ныть, что картавая плохо работает и его морда не разблокирует экран), а корпоративные и телеметрию имеют право отключать.
Для этого есть LTS-релизы. В случае с Мозиллой это называется ESR.Про винду ничего не скажу, не в курсе, но вроде XP продлевали раза 3.
> Для этого есть LTS-релизы. В случае с Мозиллой это называется ESR.
> Про винду ничего не скажуто же самое. "есть lts-релизы". Но не для вас - нужна корпоративная лицензия, а ее частному лицу вообще неясно, как получить.
> не в курсе, но вроде XP продлевали раза 3.
xp это 2001-2012, у windows7 все шансы ее переплюнуть - 2008+. Но пользоваться ей во многих случаях уже банально неудобно, мир меняется.
А про struts? Есть там ESR/LTS?
Ну что можно сказать?
Новый ТСО эквифакса :) может легко затребовать утроения бюджета :) А то с 2000-х расслабились толстопузики :)
> А про struts? Есть там ESR/LTS?ну, типа, был, one true struts1, только ему в 2008м EOL вышел, современной жабкой небось и не соберетсо ;-) Современные версии к нему вообще никакого отношения не имеют, и апи вовсе другой.
Есть две версии - текущая и еще более текущая - 2.3 и 2.5.
Баг с rest в 2.3 исправлен, так торопились, что аж забыли ссылку на release notes на сайте поменять, кажет не на текущую, а на пред-предыдущую ;-)А если эти хорьки застряли, как я подозреваю, на какой-нибудь промежуточной 2.2 или вовсе 2.0 - то хрен им по всей роже, у нас, у хипсторов, не принято носить старье, иначе другие хипсторы не будут нас уважать.
> Новый ТСО эквифакса :) может легко затребовать утроения бюджета :) А то
а шо, таки старого уже того - показательно расстреляли перед строем?
>> Новый ТСО эквифакса :) может легко затребовать утроения бюджета :) А то
>а шо, таки старого уже того - показательно расстреляли перед строем?Пока выясняют а кто же племянник сами-знаете-кого-и-его-трогать-нельзя, но кого-то всё равно расстреляют :-)
В такой ситуации ритуал жертвоприношения - обязателен! А вот будет ли несчастный причастен к косяку, или "так сложились звёзды" - сказать трудно :)
>>(т.е. зная фамилию сотрудника, можно было получить доступ к его аккаунту)Но если ты не знаешь об этом, то нельзя !
ЗЫ: вяслать всем тамашним админам российские паспорта немедленно!
Грузинские, армянские и эфиопские! Там такие закорючки...