集团新闻

        近日有报道称,包括苹果 iCloud、推特、Cloudflare、《我的世界》、以及 Steam 等在内的诸多热门服务,均易受到一个零日漏洞的影响。Luna Sec 安全研究人员将这个存在于流行的 Java 日志库中的零日漏洞利用称作“Log4Shell”,且已在 Apache Log4j 中发现。后者是一款开源的日志实用程序,且被大量应用程序、网站和相关服务所采用。

(来自:Luna Sec)

        起初,研究人员仅在微软旗下的《我的世界》中发现了“Log4Shell”。但由于 Log4j 在几乎所有基于 Java 的企业应用程序 / 服务器中“无处不在”,这一零日漏洞的影响范围还是难以估量的。

        Luna Sec 安全研究人员在一篇博客文章中警告称:任何使用 Apache Struts 的地方,都可能易受此类攻击。

目前已被证实易受影响的服务器,已波及苹果、亚马逊、Cloudflare、推特、Steam、百度、网易、腾讯、Elastic 等科技巨头。

庆幸的是,尽管另有成千上万的其它组织尚未列出,但在致外媒的一份声明中,Cloudflare 表示其已给系统打上了更新补丁,且尚未发现任何有被利用的证据。

此外《我的世界》游戏开发商 Mojang 工作室已通过紧急发布的安全更新而修复了该错误。

Apache 软件基金会也于今日发布了紧急安全更新,并为无法立即启用更新的客户提供了缓解方案。

        美国国家安全局网络安全主管 Robert Joyce 证实,该机构开发的免费开源逆向工程工具 GHIDRA 也受到了影响:“由于广泛包含在软件框架中,Log4j 是一个相当重大的漏洞利用威胁”。

        新西兰计算机紧急响应小组(CERT)、德国电信 CERT 和 Greynoise 网络监控服务均发出警告 —— 攻击者正在积极寻找易受 Log4Shell 攻击的服务器,约有 100 台不同的主机正在对互联网展开扫描。

        最后,HackerOne 高级安全技术专家 Kayla Underkoffler 指出 —— 随着开源软件在全球关键供应链中所占的比例越来越大,其遭遇此类攻击威胁的位面也在与日俱增。