Reprise du message précédent :

 Pas de dîme, pas de chocolat  

 
Comme les autres quoi.
 
Et comme pour les autres marchés, tu auras :
- le revendeur qui dit "pas possible" et impose son truc parce que le donneur d'ordre n'a pas la volonté de se battre.
- le revendeur qui dit oui à tout mais qui finalement ne fait pas et s'en sort bien parce que le donneur d'ordre n'a pas la volonté de se battre.
 
Faut pas se leurrer, le choix se fait au prix, à la taille de la poitrine de la commerciale ou la version de l'iPhone offert par le commercial.

 
https://www.bluemega.com/

Encore eût-il fallut que je fusse convié aux réunions commerciales  
J'imagine que le commercial devait être en mode   "tout est possible avec notre super solution"...

En fait sur ce genre de sujet c'est a toi de t'imposer dans les réunions, tu doit dire a ta hiérarchie de vous inclure systématiquement dans le process d'achat pour éviter les emmerdes.

Pis la tu viens de perdre la moitié de tes journées.
 
Mais en effet, il faut.
 
L’idéal restant d’avoir une hiérarchie que tu n’as pas besoin de convaincre d’un truc si évident

Sauf que je suis aussi prestataire du centre de formation et n'y suis que 2 jours par semaines  
Donc je n'ai été mis au courant qu'une fois que tout était signé.

J'ai pas eu besoin de m'emmerder avec ça encore sur 3 copieurs / 40 formateurs sur un de mes centres de formation client.

Mon RSI apres les résultats du scan NESSUS du parc par la DSI pour la faille log4j : il me demande de mettre à jour Java sur les postes utilisant l’API Log4J dans des applets Java pour colmater la faille.
 
On est d’accord qu’il n’a rien compris à cette faille ? Ou alors c’est moi ?

il est payé combien ton RSSI ?

Y'a une version 2.17 de la bibliothèque qui est sortie et qui couvre les cve parues jusqu'ici.

Peut-être qu'il fait un abus de langage ?

Mais ce sont pas les postes le problème...

 
Serveur ou poste, peu importe.

Oui.

Par contre son RSSI doit faire un amalgame Log4J2 = Java, Java = Log4J2.

#padamalgam
#nozozamalgam

 
Ah! OK, merci pour l'explication

Ici j'ai le cas d'un étudiant en alternance, son tuteur en entreprise lui a demandé de faire un serveur Apache et de tester la faille.

Pour lui Log4J = Apache (Software Foundation) = Apache HTTP server.

padamalgam

Java ? Le langage de programmation qu’on met dans les navigateurs ?

Chez un client, pour les log4j en 1.x, on nous recommande la suppression de la classe org/apache/log4j/net/JMSAppender.class, même si celle-ci n'est pas utilisée dans les configurations du log4j.properties.  
 
Je ne sais pas trop si c'est absolument nécessaire ou si c'est de la surréaction.

Vu que log4j v1 n'est pas impacté par cette faille et de toute façon plus supporté, ça me parait bien être une perte de temps.

C'est sur? il me semblait avoir lu le contraire dans la semaine.

Si, des failles ont aussi été remontées dans la V1.

Oh! Effectivement, on ne parle pas de la même CVE. Désolé

Applets en 2021? Ou tu parles de web start?

Log4j 1.x n'est plus maintenu depuis quasiment 10 ans et officiellement EOL depuis 2015 donc se soucier des failles aujourd'hui...

Quand il est intégré dans un produit tiers t'es parfois un peu bloqué

Et en pratique tu vas faire quoi? Quelles sont les autres bibliothèques vulnérables qui n'ont pas été mises à jour depuis 10 ans?

Moi je suis pas censé faire plus que remonter l'info et appliquer le patch ou le contournement quand ils existent, je suis pas là pour assumer les risques liés aux mauvais choix stratégiques

ici on l'a dans un produit mais la version date d'avant la faille donc pas besoin de maj

Si puisqu'il y a de nouvelles failles qui concernent les versions qui datent d'avant les versions concernées par la faille, faut suivre

Mais ils ont sorti un Log4j 1.x qui corrige juste la faille non ?

Aux dernières nouvelles, pas de patch car EOL
Recommendations : Mise à jour sur la dernière version ou Desactivation de certains trucs, etc...

Tu peux avoir des patchs en EOL

Recommandations : filtrer le trafic en sortie déjà

Quand l'éditeur te dit que son application doit parler à tout internet pour fonctionner car il a aucune idée de comment elle fonctionne, tu fais quoi ?

Édith :
c'est réthorique comme question
analyse des requêtes DNS + proxy en sortie pour lister les requêtes récurrente afin de faire une liste blanche de ce qui doit sortir en temps normal et c'est plié.
Cependant, c'est chiant de voir cette conception d'appli qui est mosie.

t'en redeveloppe une en interne

 
jusqu'au jour où $ÉditeurPourri se met à appeler des instances ephémères sur AWS parce qu'il est passé au CLOUD, et qu'il faut donc autoriser tout AWS

VPN vers le vpc aws juste pour son appli.

ah non monsieur on fait pas. Faut autoriser tous les ports vers tout AWS + droits d'admin du domaine sur le poste.

C'est beau, ca sent le vécu

 
 
Ivy gu "au fait elle fait quoi votre application ? "
 
presta "c'est stratégique pour votre société"
 
Ivy gu  "ok mais concrètement elle sert à quoi  ? "
 
presta "elle affiche les menu de la cantine, pourquoi cette question ? "
 
   
 

C'est open source donc rien n'est techniquement impossible:
https://repo.osgeo.org/repository/g [...] -norce.jar
 
Mais en l'occurrence les mainteneurs upstream ont clairement indiqué (en 2015) qu'il n'y toucheraient plus.

Anno Domini 2021, les users utilisent *encore* Hotmail...