昨晚笑 PHP 的, 今天可以笑 Java 了 🤪

不就是阿三的证书那回事，这个问题好修得很。

不是一个级别的吧

印度证书机构 eMudhra 的 8 张中间证书私钥随机性极弱，只有 256 种可能，几秒即可穷举还原。攻击者可借此冒充该机构，为任意网站签发看起来合法的 HTTPS 证书，用于伪造网站或窃取用户数据。 实际上所有的系统都会受到影响，比如安卓，iOS ，Windows ，Linux 等。

所以要把英语从主课中删除

你大概就只看得懂 CVE 三个字母了，根本没明白里面在讲什么

怎么修复呢？有木有大佬贴个分享

不知道 php 是啥，但是这个我感觉影响没那么严重，他是 Java 方主动发出请求，而且还得被插入到网络链路里搞中间人攻击

很多 PHP 现在都往 Java 或者 Go 转了。
Java 上一个严重的漏洞是 Log4j ，还是第三库的漏洞和 Java 语言无关。

@mmdsun log4j 和 jackson ，我们接触最多的洞王。

唔，几乎所有 Java 程序都是服务端运行，所以这个 CVE ，在笑什么呢。

和 PHP 那个 CVE 的杀伤力完全不是一个级别呀。

结合你这个帖子，昨天的 php 显得更好笑了

国内的 PHP 早就转 java 了吧

PHP 的严重一些，JAVA 也就是劫持流量

php 蹲 php 蹲 php 蹲完 java 蹲，java 蹲 java 蹲 java 蹲完 nodejs 蹲

java 同类严重的应该是很多年前的 struts 漏洞

phper belike

-----BEGIN RSA PRIVATE KEY-----
4
-----END RSA PRIVATE KEY-----

暴露水平了

注意一点，如果你的 java 服务不提供 tls ，前面有一层 nginx ，入站这块就基本没影响
出站的注意下，对不明的网站不要主动访问

php 好笑的主要原因，还是有那帮 phper

这个和 java 也没有关系啊，不过是 oracle 发了个公告而已，感觉最近几年 java 还是挺安稳的

这个就是阿三的证书问题，那个是内置根证书，像 jdk 这种就需要发版本吊销。而像浏览器这种，能在线吊销的就被在线吊销了，不用发版本。那个证书问题，中国影响不大，中国基本不用这个三哥的证书。

@msg7086 jackson 没有 fastjson 漏洞多吧

@MelodYi 那就不清楚了，我们没用 fastjson 。但反正反序列化一直是漏洞高发地……