shoucheng3/rhuss__jolokia_cve-2018-1000129_1-4-0
Jolokia es una forma novedosa de acceder remotamente a los MBeans JMX. Es diferente de los conectores JSR-160 en que es un enfoque basado en agentes que utiliza JSON sobre HTTP para su comunicación, de un modo al estilo REST.
Se proporcionan múltiples agentes para diferentes entornos:
El enfoque de agente tiene varias ventajas:
Amigable con cortafuegos
Dado que toda la comunicación es por HTTP, el proxy a través de cortafuegos deja de ser casi un problema (a diferencia de la comunicación RMI, que es el modo predeterminado para JSR-160)
Políglota
No se requiere ninguna instalación de Java en el lado del cliente. Por ejemplo, Jmx4Perl proporciona una completa biblioteca de cliente Perl y herramientas basadas en Perl para acceder a los agentes.
Configuración sencilla
La configuración se realiza mediante un simple despliegue del agente. En cambio, exportar JMX vía JSR-160 puede ser notablemente complicado (consulta estos artículos para configurar Weblogic y JBoss para la exposición remota nativa de JMX)
Además, los agentes proporcionan características adicionales no disponibles con los conectores JSR-160:
Peticiones en bloque
A diferencia de la comunicación remota JSR-160, Jolokia puede procesar muchas peticiones JMX en un solo viaje de ida y vuelta. Una única petición HTTP POST coloca esas peticiones en su payload JSON, que se despacha en el lado del agente. Estas peticiones en bloque pueden aumentar drásticamente el rendimiento, especialmente para soluciones de monitorización. El plugin de Nagios check_jmx4perl utiliza peticiones en bloque para su función de multi-comprobación.
Seguridad de grano fino
Además de la seguridad HTTP estándar (SSL, autenticación HTTP) Jolokia admite una política personalizada con restricciones de grano fino basadas en múltiples propiedades como la dirección IP del cliente o la subred, y los nombres, atributos y operaciones de los MBeans. La política se define en formato XML con soporte para secciones permitir/denegar y comodines.
Modo proxy
Jolokia puede operar en modo sin agente, donde el único requisito en la plataforma de destino es la exportación JSR-160 estándar de su MBeanServer. Un proxy escucha en el lado frontal las peticiones Jolokia vía JSON/HTTP y las propaga al servidor de destino mediante llamadas JMX JSR-160 remotas. Las peticiones en bloque se dividen en múltiples peticiones JSR-160 en el proxy de forma transparente.
Puedes encontrar aún más información sobre Jolokia en www.jolokia.org, incluyendo un manual de referencia completo.
Las contribuciones en forma de pull requests son muy apreciadas. Todo tu trabajo debe ser donado bajo la Apache Public License también. Por favor, firma tu trabajo antes de hacer un pull request. La firma (sign-off) es una simple línea al final de la descripción del parche, que certifica que lo has escrito o que tienes el derecho de transmitirlo como un parche de código abierto. Las reglas son muy sencillas: si puedes certificar lo siguiente (de developercertificate.org):
Developer Certificate of Origin
Version 1.1
Copyright (C) 2004, 2006 The Linux Foundation and its contributors.
660 York Street, Suite 102,
San Francisco, CA 94110 USA
Everyone is permitted to copy and distribute verbatim copies of this
license document, but changing it is not allowed.
Developer's Certificate of Origin 1.1
By making a contribution to this project, I certify that:
(a) The contribution was created in whole or in part by me and I
have the right to submit it under the open source license
indicated in the file; or
(b) The contribution is based upon previous work that, to the best
of my knowledge, is covered under an appropriate open source
license and I have the right under that license to submit that
work with modifications, whether created in whole or in part
by me, under the same open source license (unless I am
permitted to submit under a different license), as indicated
in the file; or
(c) The contribution was provided directly to me by some other
person who certified (a), (b) or (c) and I have not modified
it.
(d) I understand and agree that this project and the contribution
are public and that a record of the contribution (including all
personal information I submit with it, including my sign-off) is
maintained indefinitely and may be redistributed consistent with
this project or the open source license(s) involved.
Entonces solo tienes que añadir una línea a cada mensaje de commit de git:
Signed-off-by: Max Morlock <[email protected]>
Usando tu nombre real (lo sentimos, nada de seudónimos ni contribuciones anónimas).
Si estableces tus opciones de git user.name y user.email, puedes firmar tu
commit automáticamente con git commit -s.
Si corriges algo de documentación (erratas, formato, ...) no estás obligado a firmar. Es posible firmar tus commits de forma retrospectiva, también si lo olvidaste la primera vez.