Log4j zero day flaw

[strgani]

Ne znam koliko vas se bavi programiranjem ovdje i koliko ste upoznati, zanima me kakva su vaša mišljenja o ovom exploitu i kako će se odraziti na cjelokupni web, situaciju sa sigurnošću, korištenjem open software-a, znate li koga da je već nadrapao zvog tog exploita, itd.

Cnet članak

Wired članak

Fastly članak

[Mommistake]

Mišljenja su odlična... #sarkazam

Uglavnom, jedan od najvećih, ako ne i najveći secuity exploit u zadnjih 10 godina (neki kažu ikad).

Ono, hackeri ti uđu u system (bilo to Windows, Linux ili Apple), vrlo jednostavno, bez passworda i rade što žele.

Radio sam cijelu nedjelju da pokrpam stvari i izdiplojam promjene, čisto preventivno. Elastic search, Logstash, Solr itd...

Mene i moje projekte zahvatilo, ali nije bilo sranja, riješili sve na vrijeme.

[Night]

Tko koristi UniFi kontroler neka ga obavezno patchira, to je jedna od puno aplikacija koje koriste Log4j.

[strgani]

Sva sreća pa u RH puno većih firmi biva not up to date pa ima starije verzije koje nisu pogođene tim problemima.

Mislim da ćemo još dugo slušati na kapaljku o firmama koje su pogođene, ali naravno da ne žele da iscuri info.

Edit: zasad sam čitao samo o minecraft serverima...

[Ivo_Strojnica]

Ja koristim System.out.println(), pa su mi sve aplikacije koje sam isporučio sigurne.
(call me old-fashioned)
Cijeli vikend smo se bavili xPlore, Elastic searchevima, Tomcat deploymentima....
Uglavnom, riješeno i pokrpano sve.

Ovo je jeben exploit, pogotovo za Linux uređaje, koje su na enterprise sustavima default instalacija.
Isprobano, nevjerojatno kako se lako dobije pristup.

I tko bi reka, radi fakin Minecrafta otkriven issue.

[tomek@vz]

Bez brige nije ni tu gore bolje - cijeli tjedan shitstorm.

[tpm4]

Koristim verzije 1.x , ovo je zahvatilo 2.0-2.15.
Ubacili su novu funkciju u log4j i napravili bug/exploit, nista cudno...

[medo]

Također sve je 1.x i ništa nije prema van.

Organski ne podnosim Javu. Oduvijek.

[OuttaControl]

Dokaz da su ove security testing firme za k**** maltretiraju me sa disejblanjem screenshotova, pejstanja passworda i copy pejstanja općenito a niko nije bio sposoban nac ovoliki propust, a na predavanjima uče o ubacivanju koda u logove i kako je to jedan od cescih exploitova, pogotovo sa xml fajlovima

#rantmode off

[Mac_F]

Ako netko hoće probat i poigrat se: https://tryhackme.com/room/solar

[tomek@vz]

I 1.x je problematican - al ne u toj mjeri. Sto se 2.15 tice - nope - tek 2.15 rc2 i 2.16 su safe...zasad

[DiTech]

Autor Mac_F

Ako netko hoće probat i poigrat se: https://tryhackme.com/room/solar

Odlicno lik objasnio kako su ustvari napravili exploit.
Pitam se kolko takvih rupa ima da ih neznamo, jos.

[tomek@vz]

Mi smo u fazi migracije svega na 2.16. Pain in the ass.

https://logging.apache.org/log4j/2.x...migration.html


+ Alternativa http://www.slf4j.org/

[tomek@vz]

https://www.techspot.com/news/92661-...y-has-own.html

[strgani]

Autor tomek@vz

https://www.techspot.com/news/92661-...y-has-own.html

Ima i 2.16 svoje probleme

[domis]

ne zaboravite i updejtati iphone, prelako je dobiti pristup samo ako je wifi ukljucen. al izgleda da su popravili s 15.2