{"id":1026,"title":"\u041f\u0440\u043e\u043a\u0430\u0447\u0430\u0439\u0442\u0435 \u043f\u0438\u0449\u0435\u0432\u0443\u044e \u0438\u043d\u0442\u0443\u0438\u0446\u0438\u044e \u0432 \u0442\u0435\u0441\u0442\u0435 \u0441 \u0448\u0438\u0444\u0440\u0430\u043c\u0438 \u0438\u0437 \u0435\u0434\u044b","url":"\/redirect?component=advertising&id=1026&url=https:\/\/tjournal.ru\/special\/kaleidofood&placeBit=1&hash=9cb013a59ccce4d2e86882e627db11b6482213ed208d150cb78cb4997d731210","isPaidAndBannersEnabled":false}

FT: хакеры запустили более 1,2 млн атак c помощью уязвимости Log4Shell — она позволяет удалённо управлять компьютерами Статьи редакции

Специалисты отмечают, что от уязвимости в библиотеке для Java пострадали «сотни тысяч пользователей».

Электрокар Tesla, который пострадал от уязвимости Log4j Фото NovTangoPapa

Хакеры с помощью ранее незамеченной уязвимости в библиотеке логирования Apache Log4j воспроизводят около 100 атак в минуту на сервисы и приложения различных компаний. Об этом сообщает Financial Times со ссылкой исследователей кибербезопасности.

Директор Агентства по кибербезопасности и безопасности инфраструктуры США (CISA) Джен Истерли рассказала, что уязвимость Log4j — «одна из самых серьёзных». По её словам, её широко используют опытные взломщики, а количество пострадавших доходит до сотни тысяч.

Специалисты также отмечают, что во многих случаях хакеры брали на себя управление компьютерами, чтобы использовать их для добычи криптовалюты или превращения систем в ботнеты — сеть, которую используют для рассылки спама или DDoS-атак. CISA выпустила предупреждение, призывающее организации внести обновления в библиотеку Log4j. Патчи уже внесли Amazon, Apple, IBM, Microsoft и Cisco.

Исследователи кибербезопасности отметили, что почти половина всех атак была совершена идентифицированными киберзлоумышленниками. К ним относятся хакерские группировки, которые используют вредоносные программы Tsunami и Mirai. Также они добавляют на все взломанные компьютеры программу, которая майнит криптовалюту Монеро.

Благодаря этой уязвимости злоумышленники получают почти безграничную свободу для взлома — они извлекают нужную им информацию, добавляют данные записей на сервер, удаляют их, переключаются на разные серверы или устанавливают программы-вымогатели. Нападение развернули очень быстро и просто. Возможно, что подобные хакерские атаки могут повториться не раз.

Николас Шиберрас
руководитель инженерного отдела поиска уязвимостей Acunetix

9 декабря служба облачной безопасности компании Alibaba обнародовала уязвимость «нулевого дня» в библиотеке журналирования log4j для языка программирования Java. При её помощи можно взламывать сервера крупных компаний. Уязвимость позволяет хакеру послать запрос на атакуемый сервер, а в запросе указать путь к файлу payload, который позволит удаленно управлять им.

Уровень опасности — 10 баллов из 10: уязвимость Log4Shell угрожает миллионам серверов по всему миру Статьи редакции

Злоумышленники могут получить удаленный контроль над серверами и веб-приложениями, а также компьютерами и гаджетами пользователей: в большинстве случаев специальные знания для такой атаки не нужны.

0
132 комментария
Популярные
По порядку
Написать комментарий...
Gong
Ответить
65
Развернуть ветку
Дмитрий Побритый

Википедия пиздеть не станет

Ответить
17
Развернуть ветку
Aleksandr Dolgikh

Согласен, но деньги платят и нормально.

Ответить
0
Развернуть ветку
Советский глобус

Ебаные айтишники как вы заебали

Ответить
52
Развернуть ветку
FOX

чего, твою любимую кофемашину взломали?

Ответить
29
Развернуть ветку
Советский глобус
Ответить
26
11 комментариев
Развернуть ветку
Антон Сциталов

Все три миллиарда устройств

Ответить
0
Развернуть ветку
Советский глобус

Творят хуйню, еще и получают за это больше всех

Ответить
8
Развернуть ветку
AttentiveMilk

Тут соглы. Скинь предоплату

Ответить
6
Развернуть ветку
Советский глобус

написано, что атаку может совершить кто угодно, даже кофевар

Ответить
9
Развернуть ветку
Советский глобус

Наколотили денег на вёрстке сайтов, теперь развлекаются всякой хуйней, ущербные пидорасы

Ответить
5
Развернуть ветку
AttentiveMilk

И тут соглы. Тоже предоплату скинь, пожалуйста

Ответить
13
Развернуть ветку
Советский глобус

рад что депутаты не заебали, а лишь айтишники

Ответить
3
Развернуть ветку
AttentiveMilk

Донут дайте один

Ответить
0
Развернуть ветку
Дон Бужарон

Ебаные майнеры!

Ответить
0
Развернуть ветку
Ivan K
Ответить
48
Развернуть ветку
Сергей Степанов

У петуховена снизу не скомпилится, скобочек не хватает - это не вызов конструктора.

Ответить
22
Развернуть ветку
ziggy stardust

О, вы понимаете петушиный?

Ответить
21
3 комментария
Развернуть ветку
Советский глобус

Хехе, classique

Ответить
0
Развернуть ветку
Боря Митиоглов

Мемы про джаву смешные но это не уязвимость языка джава, это уязвимость log4j

Ответить
21
Развернуть ветку
Aleksandr Dolgikh

Гуманитариям не понять

Ответить
18
Развернуть ветку
Da Luxe

Главное, что в очередной раз поняли гуманитарии, что айтишники в очередной раз обосрались и сами ни хуя не понимают, что делают

Ответить
–1
3 комментария
Развернуть ветку
Себастиан Перейра

мля, у языка программирования в принципе не может быть уязвимости
уязвимость может быть у платформы
в частности мы имеем уязвимость в одной из основных библиотек платформы java

так что не надо тут...

Ответить
2
Развернуть ветку
Александр Парамонов

" у языка программирования в принципе не может быть уязвимости"
gets присоединяется к чату.

Ответить
1
Развернуть ветку
Aleksandr Dolgikh

В принципе может

Ответить
1
Развернуть ветку
Michael Konovalov

Java это не только язык но и платформа.

Ответить
0
Развернуть ветку
Боря Митиоглов

Если бы это была встроенная библиотека то другое дело, но это сторонняя библиотека

Ответить
0
Развернуть ветку
Андрей

блин фраза "если бы программисты стоили цивилизацию ее бы уничтожил один залетевший голубь" такая жиза

Ответить
18
Развернуть ветку
Советский глобус

залетевший голубь"
От QA

Ответить
2
Развернуть ветку
Советский глобус

Не, не так. 100500 голубей от QA залетели и вылетели без проблем, а первый залетевший пользовательский голубь разнёс всё к хуям...

Ответить
0
1 комментарий
Развернуть ветку
Советский глобус

Ну у нас тоже один залетевший петушок скоро цивилизации устроит веселые грибы

Ответить
0
Развернуть ветку
Советский глобус

Опять кнопкодавы бесполезные всё испортили

Ответить
14
Развернуть ветку
Советский глобус

Произошел взлом жопы

Ответить
14
Развернуть ветку
Советский глобус

Это кстати может привести к массовым взломам и расследованиям всяких чиновников. Какие-нибудь Кибер-партизаны наверняка это используют

Ответить
9
Развернуть ветку
Советский глобус

🤞

Ответить
1
Развернуть ветку
Трансгендолет

javablyadi sosnooley

Ответить
7
Развернуть ветку
Александр Белов

Долбаные джависты, достали уже, перейдите на нормальные языки.

Ответить
6
Развернуть ветку
Сталин спас Россию

Это какие

Ответить
0
Развернуть ветку
Александр Белов

Очевидно же - Delphi.
И только попробуй вякни!
П.С. Только без обид :)

Ответить
2
39 комментариев
Развернуть ветку
Просто Хэнк

1c: Предприятие.

Ответить
2
Развернуть ветку
Советский глобус

Petuh programming language. Тут, судя по комментариям, многие на нем программируют.

Ответить
1
1 комментарий
Развернуть ветку
Советский глобус

Go, Rust, Elixir

Ответить
1
Развернуть ветку
Richard Lewis

Rust, С++, Haskell

Ответить
0
Развернуть ветку
Трансгендолет

Clojure!

Ответить
0
Развернуть ветку
Советский глобус

Очевидно, сотни легаси говна валяющиеся на каждом углу ентерпрайза с позапрошлого десятилетия — никуда не «перейдет» и «джависты» там тоже давно отсутствуют.

Ответить
0
Развернуть ветку
Michael Konovalov

На 1С что-ли?

Ответить
0
Развернуть ветку
Советский глобус

Давно пора нумеровать айтишников куриными кодами на лбу

Ответить
5
Развернуть ветку
Советский глобус

Я бы побоялся с таким даже близко стоять, вдруг мою пробку перепрограммирует

Ответить
0
Развернуть ветку
Aleksandr Dolgikh

Уже, просто воспоминание об этом тебе стёрли.

Ответить
5
1 комментарий
Развернуть ветку
Советский глобус

1,2 миллиона атак
Это как?

Ответить
–1
Развернуть ветку
Сталин спас Россию

Это как миллион, но на двести тыщ побольше

Ответить
16
Развернуть ветку
Советский глобус

Я имел ввиду, что они считают за атаку. Каждый запрос от школьника на манер инъекции? Успешный "взлом"?

Как вообще это посчитали?

Ответить
0
1 комментарий
Развернуть ветку
Артем Гарбарт

Я очень сильно угораю с ребят, которые правда думают, что дело в Джаве. Держу в курсе: уязвимость образовалась из-за необработанного исключения.

Ответить
1
Развернуть ветку
Dr Serj

там дело не в обработке исключения, а в JNDI Lookup
который по умолчанию включен со 2 версии и парсит и сохраняемые строки тоже

https://habr.com/ru/company/gms/blog/594921/ (в комментариях)
https://mbechler.github.io/2021/12/10/PSA_Log4Shell_JNDI_Injection/
https://github.com/apache/logging-log4j2/pull/608

Ответить
5
Развернуть ветку
Артем Гарбарт

Если я все правильно понял – мы об одном и том же говорим. Посмотрите пулреквест, который я приложил.

Ответить
0
Развернуть ветку
Себастиан Перейра

какая хорошая платформа, эта ява
при необработанном исключении можем позволить себе произвольное выполнение кода
красота!

Ответить
0
2 комментария
Развернуть ветку
Henry Townsheld

Вот тебе и мегабезопасный язык Java.

Ответить
0
Развернуть ветку
Сергей Степанов

Это не язык Java, это библиотека.

Ответить
2
Развернуть ветку
Ivar Ragnarsson

Люблю читать комменты прогеров

Ответить
1
Развернуть ветку
Eldar

Когда можно будет выдохнуть? Есть инфа?

Ответить
0
Развернуть ветку
Сталин спас Россию

Если ты не сисадмин, то можешь выдохнуть прямо щас

Ответить
1
4 комментария
Развернуть ветку
Елена Скрэтова

зачем

Ответить
0
Развернуть ветку
Юзер Юзерович

Нет технических подробностей, минусяра в карму

Ответить
0
Развернуть ветку

Комментарий удален

Развернуть ветку
gusigaga

Еще одна стратка

Ответить
0
Развернуть ветку
Сергей Степанов

Да, пришлось повозиться. Спасибо, Apache, расслабились перед новым годом!

Ответить
0
Развернуть ветку
Коровка говорит мууу

Лучше б они удаленно мою работу сделали, а я деньги б получал

Ответить
0
Развернуть ветку
Читать все 132 комментария
null