Bilen bilmeyen her kişi, ya birini savunuyor, ya kendini savunuyor.
Mağdur olan firmaları çok yakından tanımaktayım. Biri oradan çıkmış demiş ki panel ile alakası yok, biri oradan atlamış log4j açığı demiş. Arkadaşlar anlattığınız firmaların birinde vcenter bile yok ? Neyin durumundan bahsediyoruz burada ? Bu firmaların tek ortak noktası aynı sanallaştırma modülünü kullanmaları. Vcenter kullanan firma da
bundan @Keyubu; kendisi düzenli olarak vcenter'ı günceller ve log4j açığıda kapalı bir haldedir. Madem autovm açıklı bir yazılım, bu işten bir kazanç sağlıyorsanız bu açıkları kapatmakla mükellefsiniz (veya satarken bunu belirtirsiniz). Yada cidden back-end yazılım bilginiz yok, bunları kapatamayacaksanız da sadece front-end (tasarım) olarak satışını gerçekleştirirsiniz.
Bir yazılımcı olarak kısaca olayı özetleyeyim; Bir sorgudan insert & update atılıp select atılmayacak açık olması o kadar nadir bir durumdur ki rastlayamazsınız bile. Bu saldıran şahıs select sorgularını başarı ile atmış dönen hashli şifreleri kırmış. Bu bilgiler ile esxi'lara teker teker local ip üzerinden ssh ile bağlanıp rm -rf komutlarını çalıştırmış.
Şimdi yukarıda ki gibi çıkıp denecek ki veri tabanına erişilebilen bir açık değil sunucular sadece vcenter üzerinden silinebilir. Adam yapmış ki silinmiş değil mi ? Vcenter olmayan firmaya ait dosyalarda gitmiş dediğimize göre olmuş ki gitmiş ?
(Şimdi oradan tekrar çıkıp bir firma sahibi diyecek ki; daha öncesinde vcenter kullanmıştır log4j açığının olduğ uzamanlarda root kullanıcısı açılmış diyecek kişi vcenter'dan çıktıktan sonra 2 ay ip adresini değiştiriyor ve öyle devam ediyor. Yani log4j komutları geçersiz olacaktır o kullanıcı için ....)
Bu forum üzerinde tonlarca autovm kurulumu yapan kişiler var herkese diyorlar open source olan kısmını alır kurarım herhangi bir iddiaları yok ürün üzerinde siz bu ürünü değiştirip satışını gerçekleştiriyorsunuz.
Burada size güvenip sorgusuz sualsiz alıp kullanan kişiler mağduriyet yaşamak zorunda değil, kişilerin on binlerce Türk lirası zararı var. Daha da önemlisi itibarları yok olmuş durumda ...
Herhangi bir maddi zararım yok. Bu kadar uzun yazmamın tek sebebi sevdiğim 2 arkadaşımın da firması ellerinden kayıp gidiyorken (bir tane kendini bilmez yazılımcının hatası yüzünden) bizim hiç bir şey yapamamamız...
