新足迹 › 论坛 › 兴趣爱好区 › IT与科技 › AI 相关 › 零日攻击log4j漏洞原来是阿里巴巴团队发现的 ...

精华好帖回顾
· ~我的蛋糕旅途~(2015年5月23日更新) (2007-8-13) 紫雪花	· 从我的个人经历谈应该做鸡头还是凤尾 (2008-3-6) qqyang
· 带你去寻找堪培拉的精彩生活！更新：来自中国国家博物馆的书画展Chinese Arts @ National Museum Australia (2018-6-6) seawater	· 五星级豪华鸡宅横空出世---集奢华安全实用于一身（多图多图）---45楼制作篇，90楼成本篇 (2011-2-9) 悉尼雪

查看: 4540|回复: 16

零日攻击log4j漏洞原来是阿里巴巴团队发现的 [复制链接]

Grange

金靴族

发表于 2021-12-13 06:11 |显示全部楼层

此文章由 Grange 原创或转贴，不代表本站立场和观点，版权归 oursteps.com.au 和作者 Grange 所有！转贴必须注明作者、出处和本声明，并保持内容完整

懂Java和JNDI的来说说设计这个"feature"的人是怎么想的？

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-44228

https://thehackernews.com/2021/1 ... -vulnerability.html

suke06

铜靴族

发表于 2021-12-17 21:19 来自手机 |显示全部楼层

此文章由 suke06 原创或转贴，不代表本站立场和观点，版权归 oursteps.com.au 和作者 suke06 所有！转贴必须注明作者、出处和本声明，并保持内容完整

本帖最后由 suke06 于 2021-12-17 22:21 编辑

最近拼命给服务器和各种软件加patch,包括logback.已经有很多公司或者部门的服务器沦陷了。

aqsz200

皮靴族

发表于 2021-12-17 21:20 |显示全部楼层

此文章由 aqsz200 原创或转贴，不代表本站立场和观点，版权归 oursteps.com.au 和作者 aqsz200 所有！转贴必须注明作者、出处和本声明，并保持内容完整

我已经搞了两天的patch了，真蛋疼

牵黄擎苍

银靴族

发表于 2021-12-17 21:37 来自手机 |显示全部楼层

此文章由牵黄擎苍原创或转贴，不代表本站立场和观点，版权归 oursteps.com.au 和作者牵黄擎苍所有！转贴必须注明作者、出处和本声明，并保持内容完整

这个模块开源的，据说过去一年就只有三次有记录的捐献，几位现任技术维护也都是免费在干的。有那么多的商家在免费使用，这个锅也得各商家自己背吧。这跟前几年openssl一个路子

Grange

金靴族

发表于 2021-12-17 21:39 |显示全部楼层

此文章由 Grange 原创或转贴，不代表本站立场和观点，版权归 oursteps.com.au 和作者 Grange 所有！转贴必须注明作者、出处和本声明，并保持内容完整

本帖最后由 Grange 于 2021-12-17 21:51 编辑

这个漏洞attack surface太广了，而且又容易被exploit

不管是不是开源软件，这个错误犯的太低级了，等于把大门打开让人随便跑exec() / fork()。刚听说的时候以为是类似buffer overflow的漏洞，再一看原来比那个还简单。