最新的网络安全新闻与俄罗斯入侵乌克兰有关
DevSecOps / Log4j: What 's Happened Since

Log4j: What 's Happened Since

Log4j: What 's Happened Since
肖恩Nikkel
从肖恩Nikkel那里了解更多
2021年12月15日 | 5 分钟阅读

上周五,美高梅集团app下载 发表一篇博客 关于最新的重大漏洞, cve - 2021 - 44228, 它涉及Log4j程序中的缺陷,导致任意代码执行. 以防你错过, 这里有趣的部分是,攻击者可以通过许多不同的方式引入恶意代码. 当罗布穿上它的时候 美高梅集团app下载最近的播客在这里,程序员的想象力是有限的. 

在谈论Log4j时,有什么新东西

从周五开始, 还有其他有趣的地方, 美高梅集团app下载了解到关于Log4j的读音有一场激烈的辩论. 在推特上,“Log Four Jay”和“Log Forge”之间展开了一场争论. 在这场辩论中,美高梅集团app下载将保持瑞士的立场,并使用其中任何一种. 这是一个安全的空格,所以在你的脑海里用适合你的版本来发音.

只要能把重点说清楚就行,真的. (来源:@hacks4pancakes)

除了发音问题, 随着越来越多的对手采用这一漏洞,攻击变得越来越普遍. 因此, 当美高梅集团app下载开始发现有多少系统可能受到影响时,许多研究人员和其他受人尊敬的安全声音的观点已经从糟糕到可怕. 已经有很多关于勒索软件的报道, 硬币矿工, 钴罢工灯塔, and other attacks hitting from every direction; these are already on top of the thousands of IP addresses scanning the internet.

蒂姆·斯塔克斯从 的网络Scoop 报告了中钢协领导人的几条关键评论:珍·伊斯特利表示,这可能是她见过的最糟糕的一次. 与此同时,杰伊·加斯利(Jay Gasley)断言,它可能会影响数以亿计的设备. 正如美高梅集团app下载之前所说的, 这可能涉及许多依赖关系, 包括更新Java或其他服务器应用程序, 让更新变得比简单多了一点.

Log4j无处不在(来源:推特)

这不是目前唯一的Log4j漏洞

让事情变得更有趣, Apache研究人员发现,最新版本Log4j的某些条件可能会导致拒绝服务(DoS), 现在作为一个单独的漏洞跟踪: cve - 2021 - 45046. 在这次更新中,Apache发现从2.从0到2.15(2021年12月10日的最新版本)可能会受到恶意输入的影响,以创建DoS条件. 而脆弱性是3.7 CVSS(不是10.0表示-44228有), 美高梅集团app下载的建议是通过升级到版本2来一举两得.16,由Apache详细说明 在这里.

这些坏人想干什么?

到目前为止, 《美高梅》对对手有最好的“热议”, 在他们的 最新的报告

就像美高梅集团app下载在今年早些时候的交易所大崩溃和其他之前宣布的重大漏洞中看到的那样, 期待看到攻击者和防守者之间的竞争. 最早的射击可能更多的是机会瞄准类型, 通常来自僵尸网络扫描和挖币者. 到目前为止,他们已经发展成为至少一个完全成熟的勒索软件攻击和一个木马家族活动. 检查点似乎有 可怕的可引用的数据,他们已经观察到60个以上的原始开发变种,其中超过1个.200万(强调美高梅集团app下载的)利用尝试观察到他们自己的客户部署在所有大陆和大多数行业.

这里是美高梅集团app下载, 美高梅集团app下载已经在一些顶级的黑暗网站上看到了讨论,因为论坛用户之间想出了不同的攻击方法. 他们在网上复制并转发了概念证明, 有证据表明,一些用户正在研究如何绕过web应用程序防火墙(WAF)。, 哪一种Acunetix说明了 不能保护 对利用无论如何. 

这可能会持续一段时间

关于这一点,一个更常见的想法是,Log4j的已知下载量接近50万次, 大量使用Apache服务或Java的系统, 以及可能大量的影子IT或其他未知/未被发现的资产——再加上过度工作, 缺乏资源, 或者纯粹的贪婪——对每个人来说都意味着长期的灾难. T在这里 will likely be other criminal groups who seize this opportunity and get the splashy headlines; meanwhile, 可能有一些民族国家或同样先进的参与者,他们更喜欢更安静的方式,并且已经在网络的某个地方. tl;dr是美高梅集团app下载将会有一段时间的感觉.

相关信息安全推特漫画H/T @baertwitter
相关信息安全推特漫画H/T @baertwitter 

再一次, 美高梅集团app下载的荣誉要颁给IT支持团队, 管理员们预计2021年的最后几周会很平静,并接受了挑战. 也, 为那些期待同样结果的后卫们干杯, 他们中的许多人已经经历过类似的漏洞. 就像他们在《美高梅集团app下载》里说的,这已经发生过一次,而且还会再次发生. 希望, 这是一个足够大的警钟,让更多的人进入软件材料清单(正如美高梅集团app下载自己的Rick Holland所希望的那样),或者只是更好的资产和配置管理. 

在任何情况下 一个Redditor “在第二个Pandemic圣诞节,Minecraft给了我一个Log4j漏洞.“让美高梅集团app下载希望现在就是这样.

在试驾中访问美高梅集团app下载的威胁情报

试驾探照灯免费 7
现在试一试

与美高梅集团app下载联系

友情链接: 1 2 3 4 5 6 7 8 9 10