新足迹 › 论坛 › 兴趣爱好区 › IT与科技 › IT专业论坛 › 零日攻击log4j漏洞原来是阿里巴巴团队发现的 ...

精华好帖回顾
· 为正义而战，为完善澳洲公立医疗体制而战-已书面、网上投诉到southern health，下一步是medical board, college of surge (2013-7-15) Lynette	· 成长的美好回忆~~~记一次生日爬梯 (2017-10-10) ayeeda
· 难忘工地岁月 (2007-7-17) 凡戈	· 【参加活动】手机摄影大赛----墨尔本，梦想开始的地方 (2015-2-9) 小Q新视野

查看: 4434|回复: 16

零日攻击log4j漏洞原来是阿里巴巴团队发现的 [复制链接]

Grange

金靴族

发表于 2021-12-13 07:11 |显示全部楼层

此文章由 Grange 原创或转贴，不代表本站立场和观点，版权归 oursteps.com.au 和作者 Grange 所有！转贴必须注明作者、出处和本声明，并保持内容完整

懂Java和JNDI的来说说设计这个"feature"的人是怎么想的？

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-44228

https://thehackernews.com/2021/1 ... -vulnerability.html

suke06

铜靴族

发表于 2021-12-17 22:19 来自手机 |显示全部楼层

此文章由 suke06 原创或转贴，不代表本站立场和观点，版权归 oursteps.com.au 和作者 suke06 所有！转贴必须注明作者、出处和本声明，并保持内容完整

本帖最后由 suke06 于 2021-12-17 22:21 编辑

最近拼命给服务器和各种软件加patch,包括logback.已经有很多公司或者部门的服务器沦陷了。

aqsz200

皮靴族

发表于 2021-12-17 22:20 |显示全部楼层

此文章由 aqsz200 原创或转贴，不代表本站立场和观点，版权归 oursteps.com.au 和作者 aqsz200 所有！转贴必须注明作者、出处和本声明，并保持内容完整

我已经搞了两天的patch了，真蛋疼

牵黄擎苍

银靴族

发表于 2021-12-17 22:37 来自手机 |显示全部楼层

此文章由牵黄擎苍原创或转贴，不代表本站立场和观点，版权归 oursteps.com.au 和作者牵黄擎苍所有！转贴必须注明作者、出处和本声明，并保持内容完整

这个模块开源的，据说过去一年就只有三次有记录的捐献，几位现任技术维护也都是免费在干的。有那么多的商家在免费使用，这个锅也得各商家自己背吧。这跟前几年openssl一个路子

Grange

金靴族

发表于 2021-12-17 22:39 |显示全部楼层

此文章由 Grange 原创或转贴，不代表本站立场和观点，版权归 oursteps.com.au 和作者 Grange 所有！转贴必须注明作者、出处和本声明，并保持内容完整

本帖最后由 Grange 于 2021-12-17 21:51 编辑

这个漏洞attack surface太广了，而且又容易被exploit

不管是不是开源软件，这个错误犯的太低级了，等于把大门打开让人随便跑exec() / fork()。刚听说的时候以为是类似buffer overflow的漏洞，再一看原来比那个还简单。