Log4j软件错误:你需要知道的

2022-02-18 07:32:56 来源: 腾讯 阅读量:12542   

距离圣诞节只有几天了,在发现广泛使用的日志软件存在重大安全漏洞后,联邦官员警告那些保护国家基础设施的人在假期期间要防范可能的网络攻击。

Log4j软件错误:你需要知道的

但是一个多星期前发现的 Log4j 错误提高了重要性CISA周五还发布了一项紧急指令,命令联邦民事执行机构检查接受来自互联网的数据输入的软件是否受到该漏洞的影响这些机构被指示在美国东部时间 12 月 23 日下午 5 点之前修补或删除受影响的软件,并在 12 月 28 日之前报告采取的步骤

Java 日志库Apache Log4j 中的错误为大量互联网带来了风险网络攻击者可能会利用广泛使用的软件中的漏洞来接管计算机服务器,从而可能使从消费电子产品到政府和企业系统的一切都面临网络攻击的风险

最早使用该漏洞的已知攻击之一涉及计算机游戏Minecraft在拥有 Minecraft 的微软修补这个问题之前,攻击者已经能够接管一个世界建筑游戏的服务器该错误是所谓的零日漏洞安全专家在它为人所知并可能被利用之前并没有为它创建补丁

专家警告说,该漏洞正在被积极利用网络安全公司 Check Point 周五表示,自该漏洞公开以来,它已检测到超过 380 万次利用该漏洞的尝试,其中约 46% 的尝试来自已知的恶意组织

该公司在一份报告中表示:这显然是最近几年来互联网上最严重的漏洞之一潜在的损害是无法估量的

这一消息还引发了联邦官员的警告,他们敦促受影响的人立即修补他们的系统或以其他方式修复缺陷。

需要明确的是,这个漏洞带来了严重的风险,CISA 主管 Jen Easterly 在一份声明中说她指出,鉴于 Apache Log4j 的广泛使用,该缺陷对安全专业人员提出了紧迫的挑战

以下是您需要了解的有关 Log4j 漏洞的其他信息。

谁受到影响。

Trend Micro 威胁情报副总裁 Jon Clay 表示,由于 Log4j 日志库在各种企业和开源软件中广泛使用,因此该漏洞可能是灾难性的。。

日志库很受欢迎,部分原因是它可以免费使用这个价格标签伴伴随着一个权衡:只有少数人维护它相比之下,付费产品通常背后有庞大的软件开发和安全团队

与此同时,受影响的公司有责任在坏事发生之前修补他们的软件。

这可能需要数小时,数天甚至数月的时间,具体取决于组织,克莱说。

在漏洞公开后的几天内,IBM,甲骨文,AWS和微软等公司都发布了警告,提醒他们的客户注意 Log4j,概述他们在补丁方面的进展,并敦促他们尽快安装相关的安全更新。

物联网安全公司 Armis 的首席技术官兼联合创始人 Nadir Izrael 表示,一般来说,任何使用网络服务器的消费设备都可以运行 Apache他补充说,Apache 广泛用于智能电视,DVR 系统和安全摄像头等设备

想想有多少这些设备位于装卸码头或仓库中,未连接到互联网,并且无法接收安全更新,Izrael 说当它们打开并连接时,它们立即容易受到攻击

消费者只能在收到提示时更新他们的设备,软件和应用程序但是,Izrael 指出,还有大量较旧的互联网连接设备不再接收更新,这意味着它们将不受保护

为什么这是一件大事。为降低网络安全风险,网络安全管理局提醒有关单位和公众密切关注阿帕奇Log4j2组件漏洞补丁发布,排查自有相关系统阿帕奇Log4j2组件使用情况,及时升级组件版本。

如果利用该漏洞,攻击者可以控制基于 Java 的 Web 服务器并发起远程代码执行攻击,从而控制计算机服务器这可能会带来许多危害安全的可能性

微软表示,它已经找到了证据,表明中国,伊朗,朝鲜和土耳其的被跟踪组织正在使用该漏洞其中包括总部位于伊朗的勒索软件组织,以及其他以出售系统访问权以进行勒索软件攻击而闻名的组织微软表示,这些活动可能会导致勒索软件攻击的增加

Bitdefender还报告说,它检测到针对 Windows 系统的攻击携带名为 Khonsari 的勒索软件家族。

网络安全公司Sophos被用于加密采矿作业还报告漏洞的证据,而瑞士官员说,有证据表明该漏洞被用来部署在经常使用两种僵尸网络的DDoS攻击和cryptomining

加密挖掘攻击,有时也称为加密劫持,允许黑客接管带有恶意软件的目标计算机,以挖掘比特币或其他加密货币DDoS或分布式拒绝服务攻击涉及控制计算机以虚假访问淹没网站,使网站不堪重负并将其脱机

以色列还担心这对员工在家工作的公司的潜在影响他说,工作设备和个人设备之间的界限通常很模糊,如果员工的个人设备受到威胁,这可能会使公司数据面临风险

会有什么后果。

现在说还为时过早。

Check Point 指出,这一消息是在假期高峰期之前发布的,当时 IT 部门通常由骨干人员运行,可能没有资源来应对严重的网络攻击。

在美国政府已经警告企业要对勒索软件和网络攻击在节日期间保持高度警惕,并指出,网络罪犯不花时间关闭,经常看到在节日作为一个理想的时间罢工。

尽管 Clay 表示有些人已经开始将 Log4j 称为历史上最糟糕的黑客攻击,但他认为这将取决于公司推出补丁和解决潜在问题的速度。

鉴于该缺陷目前对如此多的软件产品产生了灾难性的影响,他说公司可能要三思而后行在他们的产品中使用免费软件。

毫无疑问,我们将来会看到更多这样的错误,他说。

声明:本网转发此文章,旨在为读者提供更多信息资讯,所涉内容不构成投资、消费建议。文章事实如有疑问,请与有关方核实,文章观点非本网观点,仅供读者参考。

精选 导读

大摩:苹果产量或超预期增长,预计Q1业绩有“惊喜”

摩根士丹利分析师KatyHuberty指出,苹果本季度iPhone产量可能超预期增长,因为交货周期正在下降到“更正常的水平”。该分析师预计苹...

发布时间: 2021-12-23 17:04
行情   2021-12-23

中金:维持石四药集团跑赢行业评级目标价5.8港元

中金发布研究报告称,维持石四药集团“跑赢行业”评级,保持2021/22年归母净利润预测7.9/11.64亿元不变,目标价5.8港元。报告中称...

发布时间: 2021-12-23 17:03
行情   2021-12-23

实探中装建设元宇宙合作方鸿蒙时代:与华为无关已搬离注册地

12月22日,深交所对中装建设发布关注函,要求说明公司是否存在“楼宇智能大数据信息处理、AI可视化、元宇宙应用、智能建造系统、区块链等技术”...

发布时间: 2021-12-23 17:02
行情   2021-12-23

“疫”线女将:眼里有光心中有爱

“疫”线女将:眼里有光心中有爱题:“疫”线女将:眼里有光心中有爱曾灯光璀璨、游人如织的边陲小城因新冠疫情的再次暴发按下“暂停键”。内蒙古自治...

发布时间: 2021-12-23 16:48
要闻   2021-12-23

联通网络智能运维产品研发招标:华为、中软等11家企业入围

中国联通日前正式公布网络智能运维产品研发招标结果,华为、中软、软通动力、亚信科技等11家企业入围。传统网络故障的被动处理方式,从故障感知到信...

发布时间: 2021-12-23 16:35
酷玩   2021-12-23

热点 推荐

小米12Pro自研智能动态刷新率演示视频公布:支持新技能“滑动变速”,更

今日上午,小米手机官方表示,小米自研智能动态刷新率,是第二代低功耗2K屏幕的创新体验,第一次让小米12Pro拥有了滑动变速的新技能。小米表示...

发布时间: 2021-12-23 16:31
酷玩   2021-12-23

增速惊人!鸿蒙用户量半年突破2.2亿

C114讯12月23日下午消息在今日举办的华为动机旗舰新品发布会上,华为常务董事、消费者BGCEO、智能汽车解决方案BUCEO余承东公布了鸿...

发布时间: 2021-12-23 16:26
酷玩   2021-12-23

用户群聊从线上走到线下他趣成年轻群体社交困境破局者

伴随当下工作和生活节奏越来越紧凑,婚恋、交友等社交需求逐渐成为年轻人的刚性需求。为满足日益提升的社交需求,他趣用户从线上延伸到线下,通过组织...

发布时间: 2021-12-23 14:59
机器人   2021-12-23

京东会展云“云上服贸会”项目入选中国信通院“2021年数字孪生城市典型案

近日,2022中国信通院ICT+深度观察报告会隆重举办,京东会展云技术支持的中国国际服务贸易交易会数字平台项目入选“2021年数字孪生城市典...

发布时间: 2021-12-23 14:56
机器人   2021-12-23

华为Mate9手机推送鸿蒙HarmonyOS2.0.0.140:新增桌面

华为Mate9手机开始推送鸿蒙HarmonyOS2.0.0.140更新。更新包1优化了音量等基础体验,并新增了桌面图标放大功能。更新包2修复...

发布时间: 2021-12-23 14:41
机器人   2021-12-23
bd9