log4jの脆弱性出した開発者って何考えてんねん

[1 仕様書無しさん 2021/12/19(日) 12:28:54.18]

1970年代のprintfですら書式は別引数になってるのに
書式と文字列を一緒にするのが神設計とか思ってたんだろうか

[2 仕様書無しさん 2021/12/19(日) 12:30:25.23]

ゲリ便おいしい
じゅるじゅるって食べるの！

[3 仕様書無しさん 2021/12/19(日) 12:42:59.15]

>>1
書式文字列は一応別引数だが
書式文字列の方に間違って出力したい文字列を指定するやつが滅茶苦茶いたようだ

第二引数以降に何も指定していなければ大丈夫かと言うとそんな事はない設計なのがLog4j

[4 仕様書無しさん 2021/12/19(日) 12:52:58.24]

「Log4j」の脆弱性を突く攻撃手段の情報共有は違法？　日本ハッカー協会に聞いた
https://news.yahoo.co.jp/articles/dfa4465084fa52ced61ccf695ba46d2848063cf0

日本は具体的な方法を書くと正当な理由があるかどうか問わず逮捕される美しい国だった模様
これを放置するキッシーは頭がおかしいに違いない

簡単に止められるアラートループ如きで補導して謝罪もしない基地外国家だし
実際にやりかねないね

[5 仕様書無しさん 2021/12/19(日) 18:35:00.62]

日本人に論理的思考能力なんてないし根の部分は中華思想だから脅しで解決すると思ってるシンプルマインダーの集まりだよ

[6 仕様書無しさん 2021/12/19(日) 23:12:53.14]

情報共有禁止て、、、

[7 仕様書無しさん 2021/12/20(月) 19:45:45.94]

こんな脆弱性すぐに見つかりそうなんだけどねえ

[8 仕様書無しさん 2021/12/20(月) 22:34:25.61]

まあ、そもそも恥部を晒すのが目的のモジュールだしなぁ

[9 仕様書無しさん 2021/12/20(月) 23:17:59.69]

あ、logにパスワード出てたわ←あるある

[10 仕様書無しさん 2021/12/23(木) 02:22:50.86]

>>6
これには中国も苦笑い

[11 仕様書無しさん 2021/12/23(木) 03:23:02.00]

Javaが悪い

[12 仕様書無しさん 2021/12/23(木) 03:23:25.32]

つまりOracleは悪

[13 仕様書無しさん 2021/12/23(木) 12:08:32.49]

Sunとか知らない世代か

[14 仕様書無しさん 2021/12/23(木) 19:24:10.26]

lookup機能っていうのか

[15 仕様書無しさん 2021/12/25(土) 09:38:12.89]

ってか、文句言ってるやつ（外人含めてだが）って、人じゃねーだろ

タダ乗りしてなんの恩恵も与えずに問題が起きたときだけ元気よな

[16 仕様書無しさん 2021/12/25(土) 12:48:03.68]

>>15
設計自体が頭おかしいから誰も同情してない

Appleのgoto failのバグとかは酷いけど
レビューとかテストしきれてなかったんだろうなあ、と起きた背景を理解は出来る
これはレビュー通したやつがクレイジー過ぎる、誰がデフォルトでそんな余計な機能が有効になってると思うんだ

[17 仕様書無しさん 2021/12/25(土) 13:13:48.81]

Stackoverflow見ると書式文字列の部分に普通に文字列渡しちゃってる例が見受けられる
log4j公式はそういう使い方推奨してないんじゃね？？
しらんけど

[18 仕様書無しさん 2021/12/25(土) 15:13:51.41]

議事録の例えが面白かった。
Log4j2くんは会議の議事録を取る係です。
普段はみんなの発言をそのまま記録しています。
ある時、部長がコンビニでまんじゅう買ってきてと発言したら、
Log4j2くんは会議を抜け出してまんじゅうを買ってきました。
Log4j2くんはこの会社のあらゆる場所に入退室できる権限があります。