[OT] Log4j - klice od pulky internetu

[Petr Simek]

On Wed, 15 Dec 2021, Jindrich Fucik wrote:

> Mno, zase tak striktní bych v tom hodnocení nebyl.
> Celkem to chápu a dovedu si docela živě představit, jak k tomu došlo.
> Někomu se zdálo jako chytrý nápad, že při logování proběhne přepis IP na 
> jméno. To zní jako dobrý a jednoduchý plán. Takže je celkem jasné, že mám 
> potřebu si stahovat hostname. To je taky jasné. Pochopitelně je bezva, když 
> to mohu dělat kdekoli v textu. Takže šup, nějaký hezký parser. Jenže ten 
> parser si zjednodušil život voláním enum. To ale není nic škodlivého, to dělá 
> kde kdo.
> Mno a pak došlo k tomu, že se očekávání autora parseru rozešlo s očekáváním 
> autora té části s překladem a on mu toho poslal víc (nebo míň) e ten parser 
> udělal enum nad větší množinou dat, než se čekalo.
> Takže se nakonec udělá enum nad něčím, co neposlal autor kódu, ale co přišlo 
> jako odpověď "z venku".

Co je to enum ? Co jsem pochopil tak tam je funkce ktera kdyz narazi na 
klicove slovo tak nasleduji text vezme jako URL odkud stahne kod a ten
nasledne spusti. To je prece naprosto uchylne na knihovnu co zpracovava 
logy. A prijde mi ze co popisujete vyse je o necem jinem.

> Problém je, že java je interpretovaná a je to jazyk dost vysoké úrovně, takže 
> pokud se někomu povede něco pořádně zašmodrchat, tak se dá dosáhnout celkem 
> hezkých efektů. Pak je tu tradiční problém s web serverem na portu 80. To je 
> privilegovaný port, takže je potřeba, aby ho spustil někdo, s dost velkými 
> právy. Pokud se mi podaří se k těmto právům vrátit, je vymalováno.

To se asi nepodari, tohle uz je nejaky ten patek vyresene, to by musela
byt chyba v jadre. Ty forky httpd co obsluhuji uzivatelske spojeni maji
prava omezena a v tomhle uz dlouho zadny problem nalezen nebyl.


*------------------------------------------------------------------------*
|                          Petr Simek   APS JU                           |
|                             psimek na jcu.cz                              |
*------------------------------------------------------------------------*