音效素材网提供各类素材,打造精品素材网站!

站内导航 站长工具 投稿中心 手机访问

音效素材

漏洞利用接踵而至:Apache为Log4j发布2.17.0新版补丁修复
日期:2021-12-20 19:22:00   来源:

在 Log4j 漏洞曝光之后,Apache 软件基金会于上周二发布了修补后的 2.17.0 新版本,并于周五晚些发布了一个新补丁。官方承认 2.16 版本无法在查找评估中妥善防止无限递归,因而易受 CVE-2021-45105 攻击的影响。据悉,这个拒绝服务(DoS)攻击的威胁级别相当之高,CVSS 评分达到了 7.5 / 10 。

截图(via Bleeping Computer)

具体说来是,Apache Log4j2 的 2.0-alpha1 到 2.16.0 版本,均未能防止自引用查找的不受控递归。

当日志配置使用了带有上下文查找的非默认模式布局时(例如$${ctx:loginId}),控制线程上下文映射(MDC)数据输入的攻击者,便可制作一份包含递归查找的恶意输入数据,从而导致进程因堆栈溢出报错而被终止。

时隔三天冒出的新问题,是由 Akamai Technologies 的 Hideki Okamoto 和另一位匿名漏洞研究人员所发现的 —— 此类攻击又被称作 DoS(拒绝服务)。

缓解措施包括部署 2.17.0 补丁,并将诸如${ctx:loginId}$${ctx:loginId} 之类的上下文查找,替换为日志记录配置中 PatternLayout 线程的上下文映射模式(如%X%mdc%MDC)。

Apache 还建议在${ctx:loginId}$${ctx:loginId} 等配置中,删除对上下文查找的引用 —— 它们源于应用程序的外部,比如 HTTP 标头或用户输入。

庆幸的是,只有 Log4j 的核心 JAR 文件,受到了 CVE-2021-45105 漏洞的的影响。

(图 via Google Security Blog)

周五的时候,网络安全研究人员开始发布有关 2.16.0 潜在问题的推文,且其中一些人确定了拒绝服务(DoS)漏洞。

美国网络安全和基础设施安全局(CISA)提出了多项紧急建议,要求联邦机构尽快在圣诞节前落实补丁修复。

与此同时,IBM、思科、VMware 等科技巨头,也在争分夺秒地修复自家产品中的 Log4j 漏洞。

第二波惶恐源于安全公司 Blumira 发现的另一种 Log4j 攻击,其能够利用机器或本地网络上的侦听服务器来发起攻击。

在此之前,许多人误以为 Log4j 漏洞仅限于暴露的易受攻击的服务器。而 Conti 之类的勒索软件组织,也在积极探索此类漏洞利用方法。

    下一篇:没有文章

    大家在看的文章

    腾讯天籁行动一周年 那个佩戴人工耳蜗的

    从无数噪音中找到重要的声音有多难?来自广东佛山的宋晓婷对此深有体会。患有先天神经性耳聋的她,在13岁植入人...

    腾讯 天籁

    移动端也能音频编辑? HMS Core音频编辑能力全新开放

    移动端也能音频编辑? HMS Core音频编辑能

    音频编辑服务(Audio Editor Kit)是华为为开发者开放的各类场景音频处理能力的集合,汇聚了华为在音乐、语音等相关...

    音频编辑 也能 能力 开放 HMS

    十大国产投影仪排行:数码粉揭晓家用投影仪排名前十的品牌

    十大国产投影仪排行:数码粉揭晓家用投

     要说现在最火的数码产品是什么,智能投影仪自然是逃不过的一款产品,拥有百寸大屏,轻松满足日常观影追剧的...

    投影仪 十大 揭晓 前十 排名

    小米众筹上新:米家智能多功能养生壶仅售149元

    小米众筹上新:米家智能多功能养生壶仅

    11月18日,小米商城众筹平台将上线一款米家智能多功能养生壶新品,零售价169元,众筹仅售149元。这款产品拥有100...

    多功能 小米 仅售 养生 上新

    三星Galaxy Z Flip3 5G玩法升级 助力社交新体验

    三星Galaxy Z Flip3 5G玩法升级 助力社交新体

    8月11日,三星正式推出新一代折叠屏手机,分别是三星Galaxy Z Fold3 5G和三星Galaxy Z Flip3 5G。两款新机均沿用了之前的经...

    三星 玩法 助力 社交 新体验

    联手打造球场好声 Sonos 正式成为利物浦足球俱乐部官方音响合作伙伴

    联手打造球场好声 Sonos 正式成为利物浦足

    2021 年 8 月 10 日 – 随着新赛季的到来,Sonos 即将与利物浦足球俱乐部展开合作,在球队主场安菲尔德体育场为世界各...

    利物浦 球场 足球俱乐部 联手 音响

    助力职场青年打造A+生产力 全新荣耀MagicBook锐龙版上市后倍受好评

    助力职场青年打造A+生产力 全新荣耀Mag

    自7月20日迎来首销后,新上市的全新荣耀MagicBook 14/15锐龙版热度一直居高不下。在过去的近两个星期时间,不仅赢得...

    荣耀 职场 倍受 助力 生产力

    云手机批量运行一人成军 多多云性能功能产能三好生

    云手机批量运行一人成军 多多云性能功能

    信息时代飞速发展,5G网络普及应用,人们生产生活的效率也随之不断提升。过去需要耗费众多人力物力才能完成的事...

    一人 好生 产能 批量 性能

    小米穿戴APP全新升级:正式开启1000万千卡全民挑战

    小米穿戴APP全新升级:正式开启1000万千卡

    作为Redmi品牌的第一款智能手表产品——Redmi Watch小方屏的推出正式将智能手表品类带入到300元档位内,而Redmi Watch小...

    穿戴 小米 全民 开启 挑战

    新晋全球第二的小米迈向高端的方式 打开MIX FOLD你就懂了

    新晋全球第二的小米迈向高端的方式 打开

    今天凌晨Canalys发布了第二季度全球智能手机市场份额的报告,小米市场份额17%,智能手机销量超越了苹果,晋升全球...

    你就 小米 迈向 新晋 打开

    从主动降噪耳机到旗舰桌面音响,杰士多款新品中国上市

    从主动降噪耳机到旗舰桌面音响,杰士多

    2021年9月9日,传奇音响品牌杰士在中国上市多款新品。其中,T5 II ANC是杰士首款真无线主动降噪耳机产品,在传承杰...

    中国 旗舰 降噪 耳机 音响

    母亲节送礼清单来了!送妈妈最好的数码礼物都在京东电脑数码

    母亲节送礼清单来了!送妈妈最好的数码

      母亲节将至,你准备好礼物了吗?岁月如梭,为了养育子女成长,妈妈半生操劳。“你陪我长大,我陪你变老”...

    来了 数码 都在 最好的 母亲节

    局域网网络中怎么限制别人的上网网速?局域网限制别人网速的方法

    局域网网络中怎么限制别人的上网网速?

    局域网是封闭型的,那么局域网网络中怎么限制别人的上网网速?下面就整理了关于局域网限制别人的网速的方法,...

    限制网速 局域网

    保存在计算机上的设置与网络要求不匹配的解决办法

    保存在计算机上的设置与网络要求不匹配

    计算机上的网络连接连不上网络该怎么办呢?点击连接的时候发现提示:用于网络的保护在计算机上的设置与网络的...

    网络配置 网络连接

    中软国际与金蝶达成全面战略合作 共创数

    2021年9月,中软国际与金蝶软件(中国)有限公司(以下简称“金蝶”)签署战略合作协议。此次战略合作,双方将聚焦...

    金蝶 中软 国际

    新品三连发,Nokia C20 Plus 让简单好用更进一步

    新品三连发,Nokia C20 Plus 让简单好用更进

    2021 年 6 月 11 日——诺基亚手机的新家 HMD Global 今日发布 3 款新品,分别为全新智能手机 Nokia C20 Plus、真无线耳机 ...

    连发 好用 新品 简单 Nokia

    + 更多文章 +
    业界电商杂谈