Log4j 中的一个严重代码执行漏洞让安全专家警告企业组织和 Web 应用程序可能产生灾难性后果。
该漏洞在 Apache Log4j 安全漏洞日志中列为 CVE-2021-44228，使远程攻击者能够控制受影响的系统。
什么是 Log4j？
Log4j 是一个开源的 Apache 日志系统框架，开发人员使用它来保存应用程序中的记录。
流行的 Java 日志库中的这种利用会导致远程代码执行 (RCE)。 攻击者发送一个恶意代码字符串，当被 Log4j 记录时，攻击者可以在服务器上加载 Java 并取得控制权。
有线 报告称，周五下午，攻击者正在使用 Minecraft 的聊天功能来利用该漏洞。
谁会受到 Log4j 安全问题的影响？
问题如此严重，以至于美国网络安全和基础设施安全局发布了通知 12月10日 部分说明：
“CISA 鼓励用户和管理员审查 Apache Log4j 2.15.0 公告 并升级到 Log4j 2.15.0 或立即应用推荐的缓解措施。”
上面引用的日志将问题的严重性归类为“严重”，并将其描述为：
“Apache Log4j2
启用消息查找替换后，可以控制日志消息或日志消息参数的攻击者可以执行从 LDAP 服务器加载的任意代码。”
马库斯·哈钦斯 MalwareTech.com 警告说 iCloud、Steam 和 Minecraft 都已被确认易受攻击：
这个 log4j (CVE-2021-44228) 漏洞非常严重。 数以百万计的应用程序使用 Log4j 进行日志记录，攻击者所需要做的就是让应用程序记录一个特殊的字符串。 到目前为止，iCloud、Steam 和 Minecraft 都已被确认易受攻击。
— 马库斯·哈钦斯 (@MalwareTechBlog) 2021 年 12 月 10 日
LunaSec 的首席执行官 Free Wortley 在 12 月 9 日的一篇文章中写道RCE 零日‘ 博客文章，“任何使用 Apache Struts 的人都可能容易受到攻击。”
他还说，“考虑到这个库无处不在，漏洞利用的影响（完全服务器控制），以及利用它的容易程度，这个漏洞的影响是相当严重的。”
CERT，奥地利计算机应急响应小组， 发布了警告 周五表示受影响的包括：
“从 2.0 到 2.14.1 的所有 Apache log4j 版本以及使用这些版本的所有框架（例如 Apache Struts2、Apache Solr、Apache Druid、Apache Flink 等）。
据安全公司 LunaSec 称，JDK 版本 6u211、7u201、8u191 和 11.0.1 在默认配置中不受影响，因为这不允许加载远程代码库。
但是，如果选项
com.sun.jndi.ldap.object.trustURLCodebase是true设置为，攻击仍然可能。”
国家安全局网络安全总监 Rob Joyce， 周五发推文 “由于广泛包含在软件框架中，甚至 NSA 的 GHIDRA 中，log4j 漏洞是一个重大的利用威胁。”
针对 Log4j 漏洞的安全专家建议
Kevin Beaumont 警告说，即使你已经升级到 log4j-2.15.0-rc1，也有一个绕过：
如果您已经升级代码以使用刚刚发布的 log4j-2.15.0-rc1，它仍然容易受到攻击——您现在需要应用 log4j-2.15.0-rc2，因为存在绕过。 它们还没有修复的稳定版本。
– 凯文博蒙特（@GossiTheDog） 2021 年 12 月 10 日
马库斯·哈钦斯 MalwareTech.com 为无法升级 Log4j 的用户提供了一种解决方法：
如果无法升级 log4j，可以通过将 log4j2.formatMsgNoLookups 设置为 True（JVM 命令行中的 -Dlog4j2.formatMsgNoLookups=true）来缓解 RCE 漏洞。
— 马库斯·哈钦斯 (@MalwareTechBlog) 2021 年 12 月 10 日
Cloudflare 的联合创始人兼首席执行官 Matthew Prince， 周五宣布：
“我们已经下定决心 #Log4J 太糟糕了，我们将尝试为所有人提供至少一些保护 Cloudflare 默认客户，甚至是没有我们WAF的免费客户。 现在正在研究如何安全地做到这一点。”
Veracode 的联合创始人兼首席技术官 Chris Wysopal 建议至少升级到 Java 8：
log4j 2.15.0 的补丁版本至少需要 Java 8。如果您使用的是 Java 7，则需要升级到 Java8
当存在主动利用并且您需要快速修补时，如果您一直在更新其他依赖项，这将是有益的。
– 克里斯 Wysopal (@WeldPond) 2021 年 12 月 10 日
他还警告, “可能只有 5% 的应用程序仍在使用 Java 7，但这是未来几个月将被利用的长尾。 在你的组织中没有这些。”
弄清楚组织中的哪些应用程序使用 Log4j 应该是关键任务。
特色图片：Shutterstock/solarseven
