jdk9 出现比 log4j 更大的漏洞

[asd7160]

https://weibo.com/1705822647/Lm0FY1WyS#comment

https://imgur.com/KSkhaQO

[Had]

@312ybj 说的不是 Spring Cloud 的呀

[XhstormR02]

有人复现了 但是打码了

https://mmbiz.qpic.cn/mmbiz_png/sGfPWsuKAfdSdviblWkNAwlHD2UQ3yH0ibwOfu3IFbc83XIschNlkpV3SibxEcznXz19SUO3h09YOJMZbbbfoxz1A/640?wx_fmt=png&wxfrom=5&wx_lazy=1&wx_co=1

[binmiui]

影响太小了，现在 80%以上的项目都在 jdk8 上

[kernelpanic]

几天之前就有公开的 poc 了
https://github.com/cckuailong/spring-cloud-function-SpEL-RCE

[Had]

@kernelpanic 不是同一个东西啊？

[wbd31]

@XhstormR02 如果是这个 RCE 的话，感觉是搞了个大新闻。
Spring 的 SerializationUtils 我看只有开启了 @EnbaleCaching 才有可能用到。
大部分项目应该也都不用 Spring 的 cacahe 。

[justs0o]

今天出的是 spring RCE ，不是前几天的 Spring cloud function RCE ，楼上几个别搞混了

[Bingchunmoli]

现在公司百分之 90 之上都是 1.7 和 1.8 吧， 最起码应该是个 11.

[Bingchunmoli]

@Leviathann 然而真的比其他好用得多，也是一家独大

[Bingchunmoli]

只要 1.8 没大的安全问题，万事大吉

[harwck]

上来一张微博截图 剩下全靠编

[xServ]

强烈围观一下！

[yaott2020]

@harwck github 有

[chendy]

@Leviathann
问题是淘汰了 spring 了用啥呢
注解配置也没多少东西，想要配置基本跑不掉反射（除非做 mircronuat 那种 apt 代码生成

[jzphx]

@Leviathann 了解的越多越会发出我艹真妙，我怎么想不到的感叹，你这寥寥几句就要淘汰 Spring

[micean]

Spring Cloud Function 没几个项目用吧？

[kran]

@jzphx 能展开说一下嘛？

[wolfie]

@Leviathann
是个技术都有利弊，不去衡量优缺点，反正就要喷彰显自己的优越感。

[kran]

@wolfie 能展开说一下嘛？

[wolfie]

@kran
要组件互相依赖，还要解藕，要么扫包反射、要么编译期做文章。
所谓的又臭又长的配置，就是默认配置不是自己想要的。