新闻
漏洞 · 全球 · 2021年12月
Apache Log4j 中的 Log4Shell（CVE-2021-44228）
广泛使用的Log4j日志函数库中存在一个远程代码执行漏洞，导致无数应用程序和服务面临风险。
事件
发生了什么
Apache Log4j 2 评估由攻击者在日志数据中控制的查找字符串，通过 JNDI 启用远程代码执行。
由于 Log4j 嵌入在许多产品中，机构难以识别每个受影响的系统。
在公开披露后数天内，广泛的扫描和利用便已开始。
分析
经验总结
准确的软件库存对于应对程序库中的漏洞至关重要。
出站网络限制减少了许多利用技术的影响。
通过其他供应商产品继承的依赖关系，必须纳入漏洞管理范围。