新聞
漏洞 · 全球 · 2021年12月
Apache Log4j 中的 Log4Shell（CVE-2021-44228）
廣泛使用的Log4j日誌函式庫中存在一個遠端代碼執行漏洞，導致無數應用程式和服務面臨風險。
事件
發生了甚麼
Apache Log4j 2 評估由攻擊者在日誌數據中控制的查找字串，透過 JNDI 啟用遠端程式碼執行。
由於 Log4j 嵌入在許多產品中，機構難以識別每個受影響的系統。
在公開披露後數天內，廣泛的掃描和利用便已開始。
分析
經驗總結
準確的軟件庫存對於應對程式庫中的漏洞至關重要。
出站網絡限制減少了許多利用技術的影響。
透過其他供應商產品繼承的依賴關係，必須納入漏洞管理範圍。