BadGeek présente

Salut à tous ! MAÏA BAROUH en interview sur MUTEKI !! La chanteuse franco-japonaise nous parle de son dernier single en date, "Sushi", et commence à lever le voile sur son album à venir, intitulé "Aida". Oui, 'commence', car on la retrouvera la semaine prochaine pour la deuxième partie de l'interview ! Cette semaine également, ALPHA du GROS TAS DE ZIK met un peu de House dans sa sélection Groove avec SHIFTING GEARS, side-project du DJ tokyoïte Hoshina Anniversary, tandis que ROMAIN nous ramène au temps de la Super Famicom, avec un focus musical sur le jeu de Baston tiré de l'inoubliable anime "Yū Yū Hakusho". Bonne écoute !

Hi everybody ! MAÏA BAROUH on interview in MUTEKI today !! The french-japanese singer talks about her latest single "Sushi" and begins to unveil some news about her upcoming album "Aida". I've said 'begins' as we will broadcast the second half of this interview next week ! Today also, ALPHA from LE GROS TAS DE ZIK puts some House music in his groovy selection, with SHIFTING GEARS, the side-project of Tokyo-based DJ Hoshina Anniversary. And ROMAIN takes us back to the good old time of the Super Famicom, with a couple of BGMs from the famous "Yū Yū Hakusho"-based VS fighting Game. Mata raishuu !!

Playlist:

1- HIKARI X KINNI-KUN - Onegai Muscle

2- SHIFTING GEARS - Drum Nation

3- NAMIE AMURO - No More Tears (Remix)

4- MAÏA BAROUH - Sushi

5- TAKESHI ICHIDA, SHINJI AMAGISHI - Yū Yū Hakusho 2: Kakutō no Sho - Jin (Arranged)

6- TAKESHI ICHIDA, SHINJI AMAGISHI - Yū Yū Hakusho 2: Kakutō no Sho - Hiei (Arranged)

7- ORANGE RANGE - Bleach - Asterisk

Comme chaque samedi, Laurent vous propose 2h de musique diversifié.

Bonne écoute !

Emmanuel et Arnaud reviennent sur la fameuse faille #log4shell qui a fait travailler beaucoup d'équipes Java en décembre et janvier.

Enregistré le 11 février 2022

Téléchargement de l'épisode [LesCastCodeurs-Episode-272.mp3](https://traffic.libsyn.com/lescastcodeurs/LesCastCodeurs-Episode-272.mp3)

## Interview

### Quelle est cette vulnérabilité et pourquoi est-elle si dangereuse ?

[CVE-2021-44228](https://logging.apache.org/log4j/2.x/security.html#CVE-2021-44228)

Reportée chez Apache le 24 Novembre, Enregistrée en CVE le 26 Nov

Probablement connue depuis au moins Mars 2021: https://github.com/nice0e3/log4j_POC

* fix 2.15.0 le 10 décembre

* Apache Log4j2 JNDI features do not protect against attacker controlled LDAP and other JNDI related endpoints.

* Severity CVSS de 10 sur 10

* jamais vu

* Back to basics: C'est quoi JNDI?

* the JNDI features used in configurations, log messages, and parameters do not protect against attacker-controlled LDAP and other JNDI related endpoints

* l’attaquant trouve une donnée utilisateur qui est loggée

* Pas que HTTP

* et injecte `{JNDI:ldap` pointant vers un ldap malicieux qui retour du code java sérialisé

* log4j deserialise et execute ce que l’on veut

* que log4j2-core pas api

* détail de [Lunasec log4j zero day](https://www.lunasec.io/docs/blog/log4j-zero-day/)

* mitigations initiales

[CVE-2021-45046](https://logging.apache.org/log4j/2.x/security.html#CVE-2021-45046)

* 2.16.0 (change des fonctionalités) le 13 décembre

* Apache Log4j2 Thread Context Lookup Pattern vulnerable to remote code execution in certain non-default configurations

* When the logging configuration uses a non-default Pattern Layout with a Context Lookup

* `$${ctx:loginId})`

* attackers with control over Thread Context Map (MDC / Mapped Diagnostic Context) input data can craft malicious input data using a JNDI Lookup pattern

* donc on peut injected une chaine JNDI encore

* mais on doit savoir comment de la date utilisateur on peut pousser dans une Thread Context Map référencée par la config

* on alors l’attaquant a accès à la config et c’est game over

* Initialement on parlait de denial of services

* via une reference infinie probablement

* c’est une chemin qui n’était pas protégé des interpolations de messages et donc de l’accès JNDI

[CVE-2021-45105](https://logging.apache.org/log4j/2.x/security.html#CVE-2021-45105)

* fix dans 2.17.0 le 18 décembre

* recursion non controlée dans un lookup auto référentiel

* When the logging configuration uses a non-default Pattern Layout with a Context Lookup (for example, $${ctx:loginId}

* Besoin de l’attaquant control de Thread Context Map (peut etre une donnée injectée par un framework d’une entrée utilisateur

* changer la config log4j locale?

[CVE-2021-44832](https://logging.apache.org/log4j/2.x/security.html#CVE-2021-44832)

* 2.17.1 le 27 décembre

* Apache Log4j2 vulnerable to RCE via JDBC Appender when attacker controls configuration

* malicious configuration using a JDBC Appender with a data source referencing a JNDI URI which can execute remote code.

* attaquant accede et modifie la config

* pas simple

* sauf si la plateforme permet la reconfiguration par un utilisateur???

* log

[Google package analysis](https://security.googleblog.com/2021/12/understanding-impact-of-apache-log4j.html)

* montre 8% de packages sur central affectés par log4j 2

* niveau de dépendance transitive monte jusqu’à 9

* du coup il y a neuf vendeurs qui doivent corriger leurs dépendances

[Toujours plus de 40% de téléchargement sur Maven central des versions impactées](https://www.sonatype.com/resources/log4j-vulnerability-resource-center)

Log4j1 n’est pas en reste:

* JMSAppender

* JMS dit JNDI et paf on recommence

* JDBCAppender

* SQL injection FTW

* log4j1 n’est plus maintenue ah merde!

* Apache Kafka

[Reload4j de ceki](CVE-2021-44832)

* 1.2.17 compatible

* [voir les fixes](https://reload4j.qos.ch/news.html)

### Des exploitations ?

Peu au final

Car chaque usage de log4j est unique

Entrée quoi est loggé etc

Donc trop dur pour les script kiddies

Mais dans les megasploits et autres toolkits d’attaque

VMware vSphere et Hoirizon

Ubiquity

Solarwind

etc

### Quel process suivre

* verifier la véracité de la CVE et comprendre ses vecteurs d’attaque

* identifier ses dépendances et donc ses soft impacté

* identifier les éléments fournis par l’utilisateur qui sont loggés

* définir le risque par software et par service

* appliquer le patch de sécurité et reconstruire le package

* déployer ou livrer chez les clients

* répéter pour les semaines à venir

* shading? :)

### Impact de l’industrie dans le futur

La chine a tapé sur les doigts Alibaba qui n’a pas donné cette faille d’abord au gouvernement chinois

[The Gift of It’s Your Problem Now](https://apenwarr.ca/log/20211229)

* Discussion sur le paiement et l’open source

* Pour un individuel l’open source est un cadeau, et donner de l’argent n’améliore pas le cadeau

* Injecter de la compensation financière dans un cadeau casse le cadeau et ne change pas la motivation (ou la casse)

* Pour une société, l’open source est un moyen de récupérer du feedback et du marketing, donc c’est une transaction et pas un cadeau

* Un autre article similaire [burden open source maintainer](http://www.jeffgeerling.com/blog/2022/burden-open-source-maintainer)

[colors faker](https://snyk.io/blog/open-source-npm-packages-colors-faker/)

* mainteneur rajoute une boucle infinie dans un package modems très utilisé

* en protestation de non contribution (financière)

* 20 millions de téléchargements par semaine

* [GitHub a bloqué son compte et nom a remis une ancienne version](https://www.bleepingcomputer.com/news/security/dev-corrupts-npm-libs-colors-and-faker-breaking-thousands-of-apps/)

* un peu de temps avant il [s’est fait copié son idée de faker.js as a service](https://web.archive.org/web/20210628030444/https://marak.com/blog/2021-04-25-monetizing-open-source-is-problematic)

[Reflection on log4shell par diabolical developer](https://www.javaadvent.com/2021/12/reflections-on-log4shell.html)

* marathon pas un sprint, on fatigue après 5 ou 6 jours a fond, donc faites des rotations

* comm sur le réseau, que regarder : Adding encryption, Auth/Auth, I sanitize data that goes over the wire, I sanitize input that could execute, DOS protection – backoff strategies and more.

* supply chain sécurisation and component governance

* OSS funding (hum?)

## Nous contacter

Soutenez Les Cast Codeurs sur Patreon

[Faire un crowdcast ou une crowdquestion](https://lescastcodeurs.com/crowdcasting/)

Contactez-nous via twitter

sur le groupe Google

ou sur le site web

Liste des podcasts présentés dans cet épisode :

Just for Games :

https://podcloud.fr/podcast/just-for-games-le-podcast-gaming

Détective Privée :

https://podcast.ausha.co/detective-privee

Planète of the Tapes :

https://www.podcastics.com/podcast/planete-of-the-tapes/

Mauvais Travail :

https://smartlink.ausha.co/mauvais-travail

Change de Disque ! :

https://podcloud.fr/podcast/changededisque

Site du festival PodRennes :

https://www.badgeek.fr/podrennes/

Merci aux Podcasts ayant acceptés d'apparaître dans le générique :

-Culture 2000

-Plaisirs Coupables

-Madame Meuf

-Shitlist

-Ma Chanson Préférée

-Giga Musik

-Super Ciné Battle

Musiques utilisées:

Extrait de

Come Play with Me by Kevin MacLeod

Link: https://incompetech.filmmusic.io/song/3526-come-play-with-me

License: https://filmmusic.io/standard-license

(En ouverture du générique, en référence au podcast « Inspirés de Faits Réels »)

Yetzati :

« Walking in Tokyo »

https://soundcloud.com/yetzati

UnDixGo :

« Le rituel Diablo Arana »

« Taper taper pincer taper »

« Balancez vos airpods »

https://undixgo.bandcamp.com/album/avant-daller-dormir-soundtrack

Si vous voulez me contacter:

Twitter :

https://twitter.com/clegot

Instagram :

https://www.instagram.com/clegot/

Mail :

[email protected]

Mon blog de recommandations :

https://danslesoreilesdeclegot.wordpress.com

Partout où vous pouvez m'écouter :

https://bit.ly/3DubCmd

Ovanliga dödsfall - Sanna berättelser

Engelsmannen, den kalla drycken och halmen av metall

Tror du att det är möjligt att dö spetsad på ett halmstrå?

I teorin kan det inte hända... Det verkar så absurt och oproportionerligt.

Ett sugrör är ett litet vardagligt föremål som verkar så ofarligt, så vanligt...

Men det hände Elena Struthers-Gardner, 60 år, en lugn invånare i Broadstone i England. Denna unga pensionär hade haft ett ovanligt arbete: hon var jockey. Hon red fullblodshästar till seger och galopperade med dem i hastigheter på över trettio kilometer i timmen inför tusentals vilda och ivriga åskådare på galoppbanorna. Elena riskerade sitt liv varje dag i åratal på tävlingsbanan. Det är inte allmänt känt, men varje år dör jockeyer under träning eller under lopp, i samband med att de utför sina farliga uppgifter...

Australisk vandring

Den australiensiska bushen är en fruktansvärt ogästvänlig plats. Det går bra att köra genom den, men att gå vilse utan mat och vatten är betydligt mindre avundsvärt. Men det var vad som hände med en 35-årig australiensisk man som överlevde 71 dagar av vandring i denna fruktansvärt torra öken efter att ha blivit överfallen. Han åt gräshoppor och blodiglar, det var en fråga om liv och död.

Den 24 januari 2006, mitt under den australiska sommaren, var den unge Ricky Megee tvungen att korsa kontinenten. Han befann sig i Adelaide, i södra Australien, och måste ta sig till Halls Creek, 2 500 kilometer norrut. Han måste köra sin pick-up genom den heta Tanamiöknen. Han känner till den raka vägen väl och bestämmer sig till och med för att ta ett spår som sparar honom några kilometer. Det är då han möter en bil och tre personer vid sidan av vägen. Han stannar och bestämmer sig för att ta en av dem till nästa bensinstation, eftersom bilen har slut på bensin...

Sedan december 1941 har Japan och Förenta staterna varit i krig. För att sätta stopp för det japanska motståndet valde amerikanerna att använda kärnvapen. Little Boy fälldes över Hiroshima den 6 augusti 1945 och Fat Man över Nagasaki den 9 augusti 1945. Temperaturen i centrum av explosionen som raserade Hiroshima steg till 300 000 °C. Det är svårt att fastställa hur många människor som dödades av explosionen, värmen och de efterföljande brandstormarna, och det finns endast uppskattningar som varierar mellan 110 000 och 250 000 döda. Tsutomu Yamaguchi överlevde båda attackerna...

Den missnöjda narkomanen

Är du fascinerad av gangsterfilmer? Har Gudfadern, Goodfellas, Scarface och Pulp Fiction inga hemligheter för dig? Vet du allt om Al Capone och Mesrine? Gör dig redo att höra de mest... ja, de mest pinsamma, de mest förfärliga och de mest patetiska kriminalhistorierna. De brottslingar som vi ska berätta om står närmare Rantanplan och Averell Dalton, den dummaste av bröderna Dalton, än Pablo Escobar.

Ta polisstationen i Putnam County, Florida. Varje dag måste narkotikaroteln i denna del av USA bekämpa narkotikahandel och den ökande användningen av alla typer av narkotika. Med en fruktansvärd känsla av att denna uppgift är oändlig och att utredningarna blir allt svårare. Narkotikamissbrukare och knarklangare känner varandra, men hur infiltrerar man alla de nya nätverken? Därför blev polisen så förvånad när de fick ett telefonsamtal från 49-årige Douglas Peter Kelly. En invånare i Hawthorne ringde och klagade på den mycket dåliga kvaliteten på de läkemedel han just hade köpt: "Tänk, det är skandalöst, jag är sjuk som en hund". Och var försiktig: Douglas kommer inte att låta det här passera, han kommer att anmäla sin langare...

Den klumpiga återförsäljaren

Är du fascinerad av gangsterfilmer? Har Gudfadern, Goodfellas, Scarface och Pulp Fiction inga hemligheter för dig? Vet du allt om Al Capone och Jacques Mesrine? Gör dig redo att höra några av de mest... ja, de mest pinsamma, de mest förfärliga och de mest patetiska kriminalhistorierna. De brottslingar som vi ska berätta om står närmare Rantanplan och Averell Dalton, den dummaste av bröderna Dalton, än Pablo Escobar.

Ta till exempel den mycket pinsamma dagen för Cameron Wilson, en 27-årig man. Han bor i den lilla staden Cashmere, med 3500 invånare, i delstaten Washington, USA. En stad som är lite för tyst för hans smak. Men torsdagen den 26 maj 2019 var inte alls en bra dag för honom.

Allt började dock bra för Cameron. Han var hemma med sin flickvän och räknade lugnt sina pengar och vägde sina droger. Ja, eftersom Cameron har en dålig vana att sälja droger för att klara sig. Med tanke på riskerna med jobbet, mellan bråkiga kunder, hotfulla leverantörer och farliga konkurrenter, är Cameron alltid beväpnad. Han har en pistol i fickan. Då ser du mig komma...

Fallet O.J. Simpson, århundradets rättegång

På morgonen den 17 juni 1994 satt 95 miljoner amerikaner fastklistrade vid sina tv-apparater: en föreställning värdig en Super Bowl-kväll, som skulle få vilken kanal som helst att dregla. Från himlen filmade kameramän i helikoptrar de öde motorvägsramperna i Los Angeles, där endast en vit Ford Bronco kors och tvärs över asfalten, följd av en procession av poliser. Den här typen av jakt på en levande person kan vara en klassiker, men det är identiteten på den flyende mannen som orsakar så mycket spänning. Med ratten i ena handen och en pistol i den andra hör han en polisröst bakom ryggen, förstärkt av en megafon, som säger åt honom att stanna, att tänka på alla dem som älskar honom, på barnen som beundrar honom, att inte skrämma dem... Det måste sägas att mannen är en legend: 20 år tidigare var han världens snabbaste running back...