新足迹 › 论坛 › 兴趣爱好区 › IT与科技 › IT专业论坛 › 零日攻击log4j漏洞原来是阿里巴巴团队发现的 ...

精华好帖回顾
· 欧洲行（四）20P (2013-10-7) Wolongshan	· Cairns凯恩斯旅游实用干货总结（附外堡礁照片） (2018-10-3) harrytaurus2002
· 自制的烟熏湖南腊肉（注：非广东腊味且此帖已水，哈哈）~~ (2008-3-16) 大球球	· 地产投资问题专贴（悉尼住宅地产） (2007-8-5) Consultant

查看: 4185|回复: 16

零日攻击log4j漏洞原来是阿里巴巴团队发现的 [复制链接]

Grange

金靴族

发表于 2021-12-13 07:11 |显示全部楼层

此文章由 Grange 原创或转贴，不代表本站立场和观点，版权归 oursteps.com.au 和作者 Grange 所有！转贴必须注明作者、出处和本声明，并保持内容完整

懂Java和JNDI的来说说设计这个"feature"的人是怎么想的？

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-44228

https://thehackernews.com/2021/1 ... -vulnerability.html

suke06

铜靴族

发表于 2021-12-17 22:19 来自手机 |显示全部楼层

此文章由 suke06 原创或转贴，不代表本站立场和观点，版权归 oursteps.com.au 和作者 suke06 所有！转贴必须注明作者、出处和本声明，并保持内容完整

本帖最后由 suke06 于 2021-12-17 22:21 编辑

最近拼命给服务器和各种软件加patch,包括logback.已经有很多公司或者部门的服务器沦陷了。

aqsz200

皮靴族

发表于 2021-12-17 22:20 |显示全部楼层

此文章由 aqsz200 原创或转贴，不代表本站立场和观点，版权归 oursteps.com.au 和作者 aqsz200 所有！转贴必须注明作者、出处和本声明，并保持内容完整

我已经搞了两天的patch了，真蛋疼

牵黄擎苍

银靴族

发表于 2021-12-17 22:37 来自手机 |显示全部楼层

此文章由牵黄擎苍原创或转贴，不代表本站立场和观点，版权归 oursteps.com.au 和作者牵黄擎苍所有！转贴必须注明作者、出处和本声明，并保持内容完整

这个模块开源的，据说过去一年就只有三次有记录的捐献，几位现任技术维护也都是免费在干的。有那么多的商家在免费使用，这个锅也得各商家自己背吧。这跟前几年openssl一个路子

Grange

金靴族

发表于 2021-12-17 22:39 |显示全部楼层

此文章由 Grange 原创或转贴，不代表本站立场和观点，版权归 oursteps.com.au 和作者 Grange 所有！转贴必须注明作者、出处和本声明，并保持内容完整

本帖最后由 Grange 于 2021-12-17 21:51 编辑

这个漏洞attack surface太广了，而且又容易被exploit

不管是不是开源软件，这个错误犯的太低级了，等于把大门打开让人随便跑exec() / fork()。刚听说的时候以为是类似buffer overflow的漏洞，再一看原来比那个还简单。