新足迹 › 论坛 › 兴趣爱好区 › IT与科技 › IT专业论坛 › 零日攻击log4j漏洞原来是阿里巴巴团队发现的 ...

精华好帖回顾
· Lanshan: 简单易做又好味的手工饼干－ Choc Chip 核桃杏仁饼干 (2011-5-30) lanshan	· 读晋书乱弹系列1 - 聊聊八王之乱的起源 (2010-1-29) Melbourner1978
· 【摄出你的足迹】5年NSW內足迹 (2013-1-6) andychan	· 酱酱相传——贵州糍粑辣椒酱以及贵州特色辣子鸡 (2011-6-6) cncsc

查看: 4311|回复: 16

零日攻击log4j漏洞原来是阿里巴巴团队发现的 [复制链接]

Grange

金靴族

发表于 2021-12-13 07:11 |显示全部楼层

此文章由 Grange 原创或转贴，不代表本站立场和观点，版权归 oursteps.com.au 和作者 Grange 所有！转贴必须注明作者、出处和本声明，并保持内容完整

懂Java和JNDI的来说说设计这个"feature"的人是怎么想的？

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-44228

https://thehackernews.com/2021/1 ... -vulnerability.html

suke06

铜靴族

发表于 2021-12-17 22:19 来自手机 |显示全部楼层

此文章由 suke06 原创或转贴，不代表本站立场和观点，版权归 oursteps.com.au 和作者 suke06 所有！转贴必须注明作者、出处和本声明，并保持内容完整

本帖最后由 suke06 于 2021-12-17 22:21 编辑

最近拼命给服务器和各种软件加patch,包括logback.已经有很多公司或者部门的服务器沦陷了。

aqsz200

皮靴族

发表于 2021-12-17 22:20 |显示全部楼层

此文章由 aqsz200 原创或转贴，不代表本站立场和观点，版权归 oursteps.com.au 和作者 aqsz200 所有！转贴必须注明作者、出处和本声明，并保持内容完整

我已经搞了两天的patch了，真蛋疼

牵黄擎苍

银靴族

发表于 2021-12-17 22:37 来自手机 |显示全部楼层

此文章由牵黄擎苍原创或转贴，不代表本站立场和观点，版权归 oursteps.com.au 和作者牵黄擎苍所有！转贴必须注明作者、出处和本声明，并保持内容完整

这个模块开源的，据说过去一年就只有三次有记录的捐献，几位现任技术维护也都是免费在干的。有那么多的商家在免费使用，这个锅也得各商家自己背吧。这跟前几年openssl一个路子

Grange

金靴族

发表于 2021-12-17 22:39 |显示全部楼层

此文章由 Grange 原创或转贴，不代表本站立场和观点，版权归 oursteps.com.au 和作者 Grange 所有！转贴必须注明作者、出处和本声明，并保持内容完整

本帖最后由 Grange 于 2021-12-17 21:51 编辑

这个漏洞attack surface太广了，而且又容易被exploit

不管是不是开源软件，这个错误犯的太低级了，等于把大门打开让人随便跑exec() / fork()。刚听说的时候以为是类似buffer overflow的漏洞，再一看原来比那个还简单。