Выберите случай, который понимаете, и объясните причину, условия, последствия и устранение. На сентябрь 2026 года примером остаётся Log4Shell, CVE-2021-44228, раскрытая в декабре 2021 года: опасная обработка JNDI lookup в уязвимом log4j-core могла привести к удалённому выполнению кода. Не приравнивайте любое использование Java или Log4j API к уязвимости.
Какую громкую уязвимость последних пяти лет вы можете объяснить на собеседовании?
Как разобрать Log4Shell: затронутый компонент, границу доверия, условия риска и защитные выводы — без выдуманной истории личного расследования.
Короткий ответ
Что ответить на собеседовании
Подробный разбор
Ответ с пояснениями
Хороший ответ раскрывает механизм и уроки, а не только название CVE. Если вопрос ограничен последними пятью годами, проверьте дату на момент собеседования. На сентябрь 2026 года Log4Shell, CVE-2021-44228, раскрытая в декабре 2021 года, ещё подходит.
Проблема затрагивала определённые версии log4j-core. Недоверенные данные могли попасть в журнал и быть обработаны механизмом JNDI lookup с обращением к управляемому атакующим внешнему ресурсу. При соответствующих условиях это создавало возможность удалённого выполнения кода. Подробности и затронутые версии приведены в уведомлении Apache.
Не следует говорить, что уязвим любой Java-сервис: важны реальная зависимость, её версия, конфигурация и путь данных. Использование только log4j-api без уязвимого log4j-core — не тот же случай.
Для объяснения последствий достаточно назвать риск выполнения кода с правами приложения и широкое распространение компонента. Рабочая инструкция эксплуатации на собеседовании не требуется.
Выводы для защиты: инвентаризация прямых и транзитивных зависимостей, обновление до поддерживаемых исправленных версий, проверка фактического обновления и оценка признаков компрометации. Первоначальное исправление 2.15.0 не стоит рекомендовать как актуальную конечную цель: затем обнаруживались связанные проблемы.
Если лично не участвовали в расследовании, честно представьте это как изученный случай и объясните, чем он важен для проектирования и эксплуатации.