Log4j zero day flaw
 

Ne znam koliko vas se bavi programiranjem ovdje i koliko ste upoznati, zanima me kakva su vaša mišljenja o ovom exploitu i kako će se odraziti na cjelokupni web, situaciju sa sigurnošću, korištenjem open software-a, znate li koga da je već nadrapao zvog tog exploita, itd.

Cnet članak

Wired članak

Fastly članak

Mišljenja su odlična... #sarkazam

Uglavnom, jedan od najvećih, ako ne i najveći secuity exploit u zadnjih 10 godina (neki kažu ikad).

Ono, hackeri ti uđu u system (bilo to Windows, Linux ili Apple), vrlo jednostavno, bez passworda i rade što žele. :D

Radio sam cijelu nedjelju da pokrpam stvari i izdiplojam promjene, čisto preventivno. Elastic search, Logstash, Solr itd...

Mene i moje projekte zahvatilo, ali nije bilo sranja, riješili sve na vrijeme.

Tko koristi UniFi kontroler neka ga obavezno patchira, to je jedna od puno aplikacija koje koriste Log4j.

Sva sreća pa u RH puno većih firmi biva not up to date pa ima starije verzije koje nisu pogođene tim problemima.

Mislim da ćemo još dugo slušati na kapaljku o firmama koje su pogođene, ali naravno da ne žele da iscuri info.

Edit: zasad sam čitao samo o minecraft serverima...

Ja koristim System.out.println(), pa su mi sve aplikacije koje sam isporučio sigurne.
(call me old-fashioned) :D
Cijeli vikend smo se bavili xPlore, Elastic searchevima, Tomcat deploymentima....
Uglavnom, riješeno i pokrpano sve.

Ovo je jeben exploit, pogotovo za Linux uređaje, koje su na enterprise sustavima default instalacija.
Isprobano, nevjerojatno kako se lako dobije pristup.

I tko bi reka, radi fakin Minecrafta otkriven issue. :D

Bez brige nije ni tu gore bolje - cijeli tjedan shitstorm.

Koristim verzije 1.x , ovo je zahvatilo 2.0-2.15. :D
Ubacili su novu funkciju u log4j i napravili bug/exploit, nista cudno...

Također sve je 1.x i ništa nije prema van.

Organski ne podnosim Javu. Oduvijek.

Mi koristimo log4net, koji izgleda nema takav problem(imao je svoj share problema), ali smo dobili upit od svakog klijenta jel mi koristimo log4j :D

#rantmode on

#rantmode off

Ako netko hoće probat i poigrat se: https://tryhackme.com/room/solar

I 1.x je problematican - al ne u toj mjeri. Sto se 2.15 tice - nope - tek 2.15 rc2 i 2.16 su safe...zasad :lol2:

Odlicno lik objasnio kako su ustvari napravili exploit.
Pitam se kolko takvih rupa ima da ih neznamo, jos.

Mi smo u fazi migracije svega na 2.16. Pain in the ass.

https://logging.apache.org/log4j/2.x...migration.html


+ Alternativa http://www.slf4j.org/

https://www.techspot.com/news/92661-...y-has-own.html


:chears:

Ima i 2.16 svoje probleme :D

ne zaboravite i updejtati iphone, prelako je dobiti pristup samo ako je wifi ukljucen. al izgleda da su popravili s 15.2