хохохо, какой красивый сесурити баг
смысл в том, что
https://www.reddit.com/r/java/comments/9jyv58/lowbandwidth_dos_vulnerability_in_jacksons/
тут фикс:
https://github.com/FasterXML/jackson-modules-java8/commit/ba27ce5909dfb49bcaf753ad3e04ecb980010b0b
смысл в том, что
1e1000000000 разворачивалось в строку и это съедало весь цпу и памятьhttps://www.reddit.com/r/java/comments/9jyv58/lowbandwidth_dos_vulnerability_in_jacksons/
тут фикс:
https://github.com/FasterXML/jackson-modules-java8/commit/ba27ce5909dfb49bcaf753ad3e04ecb980010b0b
reddit
Low-bandwidth DoS vulnerability in Jackson's JavaTimeModule
You send JSON message with a big number like `1e1000000000` that should be parsed to `java.time.Duration` or `java.time.Instant` or...
(…) we see no silver bullet.
There is no single development, in either technology or in management technique, that by itself promises even one order-of-magnitude improvement in productivity, in reliability, in simplicity.
(c) F.P. Brooks
There is no single development, in either technology or in management technique, that by itself promises even one order-of-magnitude improvement in productivity, in reliability, in simplicity.
(c) F.P. Brooks
(...) a disciplined, consistent effort to develop, propagate, and exploit these innovations should indeed yield an order-of-magnitude improvement. There is no royal road, but there is a road.
(c) F.P. Brooks
(c) F.P. Brooks
Skin in the Game:
"Due to the criticality of the software, Boeing decided to put all the heads of software engineering on the test flight. During the test flight, the plane started shaking and the engineers were able to implement a midflight fix."
"Due to the criticality of the software, Boeing decided to put all the heads of software engineering on the test flight. During the test flight, the plane started shaking and the engineers were able to implement a midflight fix."
Сегодняшнего 2х часового дебага 2х синьеров в котлине Подозреваемые (по мере появления):
- бранч/комит
- зависимость
- версия котлина
- версия джавы
- формат данных
В итоге оказалось, что строка 2 раза была сериализована в жсон и появлялись \ а в окошке дебага там было экранирование и никто не улавливал, что это ошибка. Это саксес.
- бранч/комит
- зависимость
- версия котлина
- версия джавы
- формат данных
В итоге оказалось, что строка 2 раза была сериализована в жсон и появлялись \ а в окошке дебага там было экранирование и никто не улавливал, что это ошибка. Это саксес.
Ладно, с типизацией там не особо связано, но был тип Any (который как Object, который как interface{} и конечно же void*). Поэтому принималось все подряд. А ошибка из-за старого бранча (мы хакатон пилили в июле, а сегодня продолжили) и рефакторинг в сентябре. Вот оно и разъехалось.
Просто гениальная дыра в инфре некоторых: выставлять апи кубов публично. Подобные штуки постоянно ведь происходят, то травис, то бамбу, то еще какая-то тулза, суть которой быть в закрытой сети, но нет. #необучаемость
https://blog.binaryedge.io/2018/12/06/kubernetes-being-hijacked-worldwide/
https://blog.binaryedge.io/2018/12/06/kubernetes-being-hijacked-worldwide/
BinaryEdge - Science and Technology
Kubernetes being hijacked worldwide
Kubernetes, a container orchestration system used by many companies worldwide, is a type of service we have been monitoring lately as we see issues like CVE-2018-1002105 appear. Another reason for our interest in this service is because we have seen increasing…
А ведь отличные ребята по ссылке выше https://app.binaryedge.io/
Прост берут и сканят инет, говорят что публично выставлено, секуритидатамайнинг это тема.
Прост берут и сканят инет, говорят что публично выставлено, секуритидатамайнинг это тема.
North American Servicing
BinaryEdge Transition FAQ
Why is BinaryEdge shutting down?
Thank you for your patronage of BinaryEdge®. When Coalition acquired BinaryEdge in 2020, the technology was fully incorporated into Coalition's core product offerin...
Thank you for your patronage of BinaryEdge®. When Coalition acquired BinaryEdge in 2020, the technology was fully incorporated into Coalition's core product offerin...
Any organization that designs a system will produce a design whose structure is a copy of the organization's communication structure.
(с) Conway's law
(с) Conway's law
A broken, dysfunctional organization driven by meeting unhealthy goals and metrics will produce broken, dysfunctional systems.
(c) Jimmy's law
(c) Jimmy's law
Design organization you want, the architecture will follow, kicking and screaming.
(c) Inverse Conway maneuver
(c) Inverse Conway maneuver
Крутой бложек с матзадачами и хорошим описание решения/темы http://datagenetics.com/index.html
DataGenetics
Data Decoded, Value Unlocked.