https://www.opennet.ru/openforum/vsluhforumID3/112221.html На сайте с информацией о взломе Equifax, в результате которого произошла (https://www.opennet.ru/opennews/art.shtml?num=47170) утечка персональных данных 44% населения США, появилось (https://www.equifaxsecurity2017.com/) подтверждение сведений, что для атаки была применена уязвимость CVE-2017-5638 (https://www.opennet.ru/opennews/art.shtml?num=46167). Данная уязвимость была устранена в мартовском обновлении Apache Struts, в то время как атака на Equifax была проведена с мая по июль, т.е. причиной взлома стала халатность персонала, которые не установили обновление с исправлением критической уязвимости.<br><br><br>Примечательно, что в аргентинском отделении Equifax выявлена (https://krebsonsecurity.com/2017/09/ayuda-help-equifax-has-my-data/) ещё более знаковая оплошность - оказалось, что на портал для сотрудников Equifax, предназначенный для управления кредитными спорами, можно было войти при помощи логина/пароля admin/admin. Воспользовавшись данной учётной записью исследователям удалось получить персональные данны https://www.opennet.ru/openforum/vsluhforumID3/112221.html#30 Thu, 14 Sep 2017 23:21:08 GMT &gt;&gt; Новый ТСО эквифакса :) может легко затребовать утроения бюджета :) А то<br>&gt;а шо, таки старого уже того - показательно расстреляли перед строем?<br><br>Пока выясняют а кто же племянник сами-знаете-кого-и-его-трогать-нельзя, но кого-то всё равно расстреляют :-) <br>В такой ситуации ритуал жертвоприношения - обязателен! А вот будет ли несчастный причастен к косяку, или "так сложились звёзды" - сказать трудно :)<br> https://www.opennet.ru/openforum/vsluhforumID3/112221.html#29 Thu, 14 Sep 2017 19:37:55 GMT песочница в общем-то тоже не панацея - дает гарантированный ответ "нет". Если в ней рассыпалось - значит, на прод нельзя. А гарантированного "да" она дать, увы, не может.<br>особенно, если, как раз по соображениям безопасности (или тупо из-за размера), тестовая среда не может работать с полноценной копией реальных данных.<br><br>так шта, ну его в пень, апгрейдиться. "разведка без приказа - это называется дезертирство. Пуля в голову, вот награда за такое."<br>Увидел на опеннете "обнаружена опасная уязвимость" - срочно закрой окно и очисть хистори.<br><br> https://www.opennet.ru/openforum/vsluhforumID3/112221.html#28 Thu, 14 Sep 2017 17:52:13 GMT &gt; А про struts? Есть там ESR/LTS?<br><br>ну, типа, был, one true struts1, только ему в 2008м EOL вышел, современной жабкой небось и не соберетсо ;-) Современные версии к нему вообще никакого отношения не имеют, и апи вовсе другой.<br><br>Есть две версии - текущая и еще более текущая - 2.3 и 2.5.<br>Баг с rest в 2.3 исправлен, так торопились, что аж забыли ссылку на release notes на сайте поменять, кажет не на текущую, а на пред-предыдущую ;-)<br><br>А если эти хорьки застряли, как я подозреваю, на какой-нибудь промежуточной 2.2 или вовсе 2.0 - то хрен им по всей роже, у нас, у хипсторов, не принято носить старье, иначе другие хипсторы не будут нас уважать.<br><br>&gt; Новый ТСО эквифакса :) может легко затребовать утроения бюджета :) А то <br><br>а шо, таки старого уже того - показательно расстреляли перед строем?<br><br> https://www.opennet.ru/openforum/vsluhforumID3/112221.html#27 Thu, 14 Sep 2017 17:37:40 GMT &gt;&gt; полезешь без согласования и оно не сразу поднимется<br><br>Для этого существуют песочницы, &#8212; модельные окружения<br> https://www.opennet.ru/openforum/vsluhforumID3/112221.html#26 Thu, 14 Sep 2017 17:34:57 GMT &gt; Ну например у дефолтного пользователя БД ORACLE <br><br>этому пользователю двадцать или может даже тридцать лет - еще в шестом оракле такой пароль был. Сейчас такие сложные пароли - не стильно, не модно, и не молодежно - admin/admin наше всьо!<br><br>Заметьте, как творчески подошли к этому вопросу ребята из аргентинского офиса - они еще и юзверям сделали пароли, совпадающие с логином (видимо, им забыли рассказать, что это не поле валидации, и что туда, вообще-то, можно ввести что-нибудь другое)<br><br> https://www.opennet.ru/openforum/vsluhforumID3/112221.html#25 Thu, 14 Sep 2017 17:21:33 GMT Грузинские, армянские и эфиопские! Там такие закорючки...<br> https://www.opennet.ru/openforum/vsluhforumID3/112221.html#24 Thu, 14 Sep 2017 16:29:03 GMT &gt;&gt;(т.е. зная фамилию сотрудника, можно было получить доступ к его аккаунту)<br><br>Но если ты не знаешь об этом, то нельзя !<br><br>ЗЫ: вяслать всем тамашним админам российские паспорта немедленно!<br> https://www.opennet.ru/openforum/vsluhforumID3/112221.html#23 Thu, 14 Sep 2017 15:19:44 GMT А про struts? Есть там ESR/LTS? <br>Ну что можно сказать? <br>Новый ТСО эквифакса :) может легко затребовать утроения бюджета :) А то с 2000-х расслабились толстопузики :)<br> https://www.opennet.ru/openforum/vsluhforumID3/112221.html#22 Thu, 14 Sep 2017 14:57:50 GMT &gt; Для этого есть LTS-релизы. В случае с Мозиллой это называется ESR.<br>&gt; Про винду ничего не скажу<br><br>то же самое. "есть lts-релизы". Но не для вас - нужна корпоративная лицензия, а ее частному лицу вообще неясно, как получить.<br><br>&gt; не в курсе, но вроде XP продлевали раза 3.<br><br>xp это 2001-2012, у windows7 все шансы ее переплюнуть - 2008+. Но пользоваться ей во многих случаях уже банально неудобно, мир меняется.<br><br>