侧边栏壁纸
  • 累计撰写 262 篇文章
  • 累计创建 1,025 个标签
  • 累计收到 16,613 条评论
标签搜索
隐藏侧边栏

突发!Log4j 爆“核弹级”漏洞,Flink、Kafka 等至少十多个项目受影响

thinkin
2021-12-10 / 0 评论 / 0 点赞 / 416 阅读 / 0 字 / 正在检测是否收录...
温馨提示:
本文最后更新于2021-12-10,若内容或图片失效,请留言反馈。 部分素材来自网络,若不小心影响到您的利益,请联系我们删除。
突发!Log4j 爆“核弹级”漏洞,Flink、Kafka等至少十多个项目受影响
昨晚,对很多程序员来说可能是一个不眠之夜。12 月 10 日凌晨,Apache 开源项目 Log4j 的远程代码执行漏洞细节被公开,由于 Log4j 的广泛使用,该漏洞一旦被攻击者利用会造成严重危害。 据悉,Apache Log4j 2.x <= 2.14.1 版本均回会受到影响。根据“微步在线研究响应中心”消息,可能的受影响应用包括但不限于:Spring-Boot-strater-log4j2、Apache Struts2、Apache Solr、Apache Flink、Apache Druid、Elasticsearch、Flume、Dubbo、Redis、Logstash、Kafka 等。很多互联网企业都连夜做了应急措施。 截至本文发出,斗鱼、京东、网易、深信服和汽车产业安全应急响应中心皆发文表示,鉴于该漏洞影响范围比较大,业务自查及升级修复需要一定时间,暂不接收 Log4j2 相关的远程代码执行漏洞。

lookup 功能造成的漏洞

Log4j 是一款开源 Java 日志记录工具。日志记录主要用来监视代码中变量的变化情况,周期性的记录到文件中供其他应用进行统计分析工作;跟踪代码运行时轨迹,作为日后审计的依据;担当集成开发环境中的调试器的作用,向文件或控制台打印代码的调试信息。因此,对于程序员来说,日志记录非常重要。 在强调可重用组件开发的今天,Apache 提供的强有力的日志操作包 Log4j。Log4j 可以轻松控制 log 信息是否显示、log 信息的输出端类型、输出方式、输出格式,更加细致地控制日志的生成过程,而其通过配置文件可以灵活地进行配置而不需要大量的更改代码。因此,很多互联网企业都选择使用 Log4j 。 2014 年,Log4j 2 发布。Log4j 2 是对 Log4j 的重大升级,完全重写了 log4j 的日志实现。Log4j 2 提供了 Logback 中可用的许多改进,同时修复了 Logback 架构中的一些固有问题,目前已经更新到 2.15.0 版本。 Log4j2 也支持 SLF4J,可以自动重新加载日志配置,并支持高级过滤选项。此外它还允许基于 lambda 表达式对日志语句进行延迟评估,为低延迟系统提供异步记录器,并提供无垃圾模式以避免由垃圾收集器操作引起的任何延迟。通过其他语言接口,企业也可以在 C、C++、.Net、PL/SQL 程序中使用 Log4j。 此次漏洞的出现,正是由用于 Log4j 2 提供的 lookup 功能造成的,该功能允许开发者通过一些协议去读取相应环境中的配置。但在实现的过程中,并未对输入进行严格的判断,从而造成漏洞的发生。“微步在线研究响应中心”做了漏洞复现:
简单来说,就是在打印日志时,如果发现日志内容中包含关键词 ${,那么这个里面包含的内容会当做变量来进行替换,导致攻击者可以任意执行命令。详细漏洞披露可查看:
https://issues.apache.org/jira/projects/LOG4J2/issues/LOG4J2-3201?filter=allissues
由于线上 web 业务的任何数据都可能写入 Log4j,甚至一些 pre-auth 的地方,比如注册、登录,实际攻击入口取决于业务具体情况。目前百度搜索、苹果 iCloud 搜索、360 搜索等都出现了该问题。
图源:公众号“信安之路” 12 月 10 日上午,阿里云安全团队再次发出预警,发现 Apache Log4j 2.15.0-rc1 版本存在漏洞绕过,建议及时更新至 Apache Log4j 2.15.0-rc2 版本。 对于这次漏洞,有网友评价说道,“可以说是灾难性的漏洞,比之前的 fastjson 和 shiro 还要严重,这个漏洞估计在之后三四年内还会继续存在….”

快速检测及修复方案

针对此次漏洞,“微步在线研究响应中心”也给出了一些应急方案。 1. 紧急缓解措施 (1)修改 jvm 参数 -Dlog4j2.formatMsgNoLookups=true (2)修改配置 log4j2.formatMsgNoLookups=True (3)将系统环境变量 FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS 设置为 true 2. 检测方案 (1)由于攻击者在攻击过程中可能使用 DNSLog 进行漏洞探测,建议企业可以通过流量监测设备监控是否有相关 DNSLog 域名的请求,微步在线的 OneDNS 也已经识别主流 DNSLog 域名并支持拦截。 (2)根据目前微步在线对于此类漏洞的研究积累,我们建议企业可以通过监测相关流量或者日志中是否存在“jndi:ldap://”、“jndi:rmi”等字符来发现可能的攻击行为。 3. 修复方案 检查所有使用了 Log4j 组件的系统,官方修复链接如下:
https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2

安全应该是一个持续的过程

每个人都知道安全的重要性,但安全问题还是频繁发生。 去年 5 月,360 网络安全响应中心发布“ Fastjson 远程代码执行漏洞通告”。通告称,Java 库 fastjson <= 1.2.68 版本存在远程代码执行漏洞,漏洞被利用可直接获取服务器权限。该漏洞评定为“高危漏洞”,影响面“广泛”。 前年,阿里云应急响应中心监测到,Apach Shiro 官方披露了其 cookie 持久化参数 rememberMe 加密算法存在漏洞,攻击者利用 Padding Oracle 攻击手段可构造恶意的 rememberMe 值,绕过加密算法验证,执行 java 反序列化操作,最终可导致远程命令执行获取服务器权限,风险极大。 安全本身并不是一个能够创造价值的功能,反而更像是需要消耗价值以确保功能稳定的功能。中小企业常常没有足够的资金投入安全建设,而有资金的企业也会把这部分预算将到最低。 网络攻击成功的可能性以及潜在损失的程度是难以实现估计的,决策者通常是依靠经验判断来做决定投入金额。根据 Alex Blau 在哈佛商业评论中的文章中提到的,决策者在作出决定时,会有以下三个误区:
  1. 将网络安全视为一种防御。在这个过程中,强大的防火墙和有能力的工程师可以让他们远离威胁。
  2. 认为遵守 NIST 或 FISMA 等安全框架就足够安全。
  3. 以为如果近期没有发生安全漏洞,那么看起来没有问题的部分就不需要修复。
这些想法的问题在于,网络安全不是要解决有限的问题,而应该是一个持续进行的过程。麻省理工学院数字经济倡议主任 Erik Brynjolfsson 表示,对抗网络威胁应该被归到“更高级别的优先考虑项”。他认为,一些修复并不复杂。虽然增加一些额外的小操作会让整个流程变长,并增加一点成本,但会让企业和个人更加安全。 Brynjolfsson 提出,在网络安全方面,使用公开可用的密码学通常比为特定公司构建的专有系统更加安全。
0
并发 、80端口节点、ss、ss机场、ss节点、v2ray、v2rayng、v2ray机场、v2ray节点、v2ray节点免费2022、v2ray订阅、vmess、vmess机场、vmess节点、vpn、俄罗斯节点、免费vpn、免费节点、内地接口、台湾节点、日本节点、机场、欧洲节点、美国节点、老五节点、节点、节点免费订阅、谷歌访问助手、韩国节点 2022最新节点 小程序开发 微信公众号涨粉 φουσκωτα στρωματα υπνου shadowsocks-mod soap 微信公众号运营 หนังออนไลน์ฟรี vvpn webservice wp文章隐藏部分内容 หนังเกาหลี sr节点后台搭建 web 在线工具 หนังออนไลน์ฟรี 2019 shadowrocket订阅v2ray text 在线图片压缩 เว็บหนังออนไลน์ดูฟรี ชัดเต็มเรื่อง shadowrocket App 文本展开与收起 json格式化 nowoczesne ogrodzenia pionowe 小火箭 安全 总结 xml格式化 sztacheta drewniana allegro sr节点前端搭建 软件 当你绝望时最接近成功 http在线请求 sztachety kompozytowe pełne Navicat Premium 15 三层架构 在线接口模拟 order flowers for delivery today 数据库工具 自适应 程序员和产品的矛盾 same day flower delivery usa 软件激活 Android 平板电视开发 程序员为啥生气 flowers today delivery 国内节点 开发 虚拟按键 excel文件讀取 toys ssr订阅 进程保活 matlab c#文件读取 autism sip002订阅 框架 lib OleDB craigslist trojan订阅 性能 数据 wifi ซีรีย์เกาหลี ss订阅 list bmob 网卡驱动 nowoczesne ogrodzenia betonowe trojan节点 for循环 app升级 重装无线网卡驱动 ogrodzenia drewniane allegro sip002节点 java matlab2015b wifi连接不上解决方案 ogrodzenia betonowe szemud ios节点 Google 破解安装 华硕笔记本 simulation mobile games 免费节点订阅 PWA 异常处理 ดูหนังออนไลน์ hd vmess订阅 Chrome CopyFile 技术 ดูหนังออนไลน์ยอดนิยมปี 2020 神秘的程序员 C++ string 比特币 ดู Netflix 1024 编程语言 类型转换 区块链是什么 ดูซีรีย์ 程序员是一群什么样的人 C++17 vector转数组 去中心化 how to write a general essay 老五节点 程序员 atoi与atof 分布式数据库 paper to write on Android 12 程序员中年危机 getLine Canva college essay editor 2021Google开发者大会 strtok 在线作图工具 量桨 节点免费订阅 HTTP 时间转换 工具软件推荐 国内首个量子机器学习开源框架 免费vpn 404 Elastic Search 开源框架 v2ray机场 阿尔法狗 JSONObject合并 or操作 free essay writer vmess机场 AlphaGo json should和must when writing an essay ss机场 AI 招聘 filter essay edge 双12 人工智能 彩蛋 win10开始菜单点击无效 Log4j 谷歌 字符串 win10开始菜单不能点击 2022最新节点 谷歌访问助手 就业 微信小程序我的页面 系统更新 翻墙 HignCharts 小程序我的页面布局 换新机 反编译 图表 elasticsearch filter should 日本节点 jadx chart es索引 韩国节点 经验 分页 elasticsearch基础 80端口节点 编程 MySql java json合并 欧洲节点 小程序 数据库 json处理 美国节点 网页 百度云盘 비트카지노 俄罗斯节点 微信 json解析 슬롯 카지노 台湾节点 开源 simdjson 카지노나라 v2ray节点免费2022 互联网 Vue 授权获取手机号 รีวิวหนังใหม่ code 密码 LocalBroadcast 组件开发 รีวิวหนังออนไลน์ 内地接口 web-view 局部广播 getPhoneNumber แนะนำหนังใหม่ปี 2020 cnzz 阿里巴巴 js交互 地理位置授权 birthstone necklace 网站统计 2017 apk disabled样式不可用 name plate necklace 51la IT 签名 短网址生成 gold cross necklace 百度统计 大事件 资源 老五 how we write essay 一键安装 脚本 图片 重定向 information about essay writing 傻瓜教程 HashMap 视频 essay on bank centos8 机器学习 分享 Minimum Viable Produc 数据挖掘 敏捷开发 最小可行产品 weka Scrum 敏捷和精益开发 随机森林 AppScan buy paper IKVM 漏洞修复 mba essay IKVM.NET dotnet hints on essay writing dll OnClick tempur στρωματα wp 事件 στρωμα tempur 统计 Network Security διπλες κρεβατοκαμαρες join jar转dll autocomplete androidx .net AutoCompleteType androidx与support v4/v7冲突与共存 jdk8 密码自动填充 android低版本升级到高版本 加载动画 小萌伴 android问题解决 源码 聊天机器人 CoreDNS dieta e caminhada 自定义控件 广告过滤 DNS o que dieta enteral Annotation 迭代 前端框架 dieta whole 30 cardapio 基础 敏捷实施 Excel café com leite tem carboidrato 注解 敏捷工具 trim o leite possui carboidratos AR leangooo 浏览器兼容 qual leite não tem carboidrato 增强现实 迭代管理 字符串去空格 tim k ARCore 禅道 页面生成pdf no strings attached 免费课程 zentao html paw patrol Collections 蒙版弹窗 hosts Photoshop API 996 发送邮件 图片编辑器 深度学习 996.ICU Affinity Photo 图片压缩 加班 Blockchain GNU WebP 公众号 面试指南 Photoshop 替代品 BPG IT老五 亚马逊 GNU 图像处理程序 TNG it-lao5 视频算法 常用方法 腾讯 itlao5 DVQA 校验 投资 2048 C3DVQA 工具方法 金融 bird 视频质量评估算法 更改注册表 腾讯生态圈 小鸟 AI训练 CredSSP加密Oracle修正 蓝牙 打飞机 wp站点置灰 CredSSP加密数据库修正 BLE 目录 tiktok windows Kotlin 手电筒 抖音 安全漏洞修复 开发资源 语音识别 抖音国际版 windows server 语音合成 免vpn DHCP Client 移动开发 语音唤醒 梯子 禁用445端口 微信开发 我的页面 v2ray Message Queuing 苹果 微信授权 vpn WWDC 用户信息获取 搬瓦工 document 霍金 菜单列表布局 优惠码 js异步加载 大事记 zoom xshell cnzz统计 预言 控件缩放 复活节 百度收录 RxJava wxs skew elastic 教程 手机号/身份证号隐藏 anagram 大数据看板统计 响应式编程 周末 do a barrel roll Kibana代码 iPhone 陪伴 免费电影 破解 找手机 天堂影视 SKEP GrayKey itlao5-xmb-weapp 资源分享 情感分析 漏洞 小程序跳app 老五影视 百度 webview 说话 VIP电影 Senta h5 语言表达 заказать создание сайта визитки Github推荐 AndroidP 面试 автоматическая воронка продаж 室内定位 职场 продвижение сайта Youtobe克隆项目 组件化 日期格式化 money loans online with bad credit 前端源码 二维码 经验总结 money mart loans online React 算法 post money loan scams VINE 网络请求 premium porn portal 神经演化 CoinTiger top paid porn sites Uber ftn paid porn sites Https porn sites premium 泛域名证书 ssl best premium porn Let's Encrypt tls premium porn sites 设计模式 语言 团队管理 love flower JavaScript Java10 沟通 love flower bouquet 项目管理 区块链 薪资 best flowers of love 需求 js 按钮事件 thinking of you flowers 开发源码 代码 重复点击 romantic flower delivery bug修复 哈希 节流函数 arrangements love flower c# gradle 微信二维码识别 best flowers for love protobuf 多二维码识别 roses love 语言 & 开发 二维码长按识别 funny pillows 文章同步助手 DevOps neck pillow funny 微信同步助手 云计算 wp迁移 top rated cervical pillows 一键发布文章 敏捷技术 阿里云 payday loans montgomery alabama 多平台文章一键发布 敏捷 站点迁移 direct lender payday loans online bad credit 自媒体 Kubernetes 站点备案 payday loans online with direct lenders redis 持续集成 段子 floral arrangements funeral 网络安全 Android Studio 友链 flower arrangement for funeral service 安全等保 D8 友情链接 flower delivery for funerals 三级等保 Dex judi casino k免费节点 编译器 程序员笑话 judi casino online 免费节点 Animation 哪吒 casino sbobet 动画 华为 woman has sex with two men 影视资源 鸿蒙系统 free sex teacher 电影分享 谷歌AndroidQ milfs in porn VIP影视 苹果窃听门 coin master 天猫超市 太空互联网 앙기뮤찌 漏洞券 华为地图服务 birthday gift for wife online 白菜群 今日推荐 send birthday gift baskets 淘宝 CentOS7 移动端兼容 flower birthday 京东 BBR 科学上网 Organic cbd 拼多多 VPS google-access-helper-2.3.0 Cbd gummys 机场 JNI 谷歌访问助手2.3.0破解版 wget win101 反射 十大经典排序算法 birthday gifts best 激活 Google I/O 2018 桶排序 birthday delivery ideas 谷歌访问 Android P 排序算法 best birthday flower es 朋友圈 桶排序源码 fifa 20 DB搜索引擎 Github html转pdf birthday present for wife 搜索引擎 MaterialDesign 网页转pdf cheap birthday balloons emoji Android Things jspdf love flowers for girlfriend 哪吒重生 操作系统 html2canvas flowers from you 浴血无名川 Material Design 十大经典算法 flowers love 侍神令 SDK 堆排序 keto grocery shopping list walmart 许愿神龙 view 完全二叉树 supplements for memory 送你一朵小红花 ui 堆积 keto costco shopping list reddit VIP影视 免费电影 电影分享 资源分享 架构设计 Android 10 FQ v2ray 免费节点 机场 科学上网 谷歌访问 移动 Android Q episode choose your story 技术一号位 TensorFlow Android正式版 iphone 6s cases walmart 研发管理 TensorflowLite Android全新logo sonix iphone case WX Backup 人声识别 angel iphone 7 silicone case 微信备份 gVisor 开源项目 艾菠 微信聊天 go 腾讯开源 aiboobeauty 聊天记录备份 沙箱 全栈机器学习开源模型 艾菠手工紋繡藝術 微信聊天记录 Activity 广告插入 personal essay db、 生命周期 help with my essay db 启动模式 essay writing format 会议 Netflix 华为方舟编辑器 PORN zuul 安卓10 narrative and descriptive writing 萨尔瓦多 微服务 安卓框架推荐 what to write an essay about 法定货币 网关 童年 how to write an essay 货币 Android周报 黑猫警长 Wuhan Wild Wings T Shirt Fuchsia OS OpenStack ipone porn photo of elderly old women 鸿蒙OS Rust 浴霸三摄 softcore photo butt close-up 主题 物联网 ihone11 watch pornography video 节点 TensorFlow Lite 苹果发布会 help with writing openBI 中文教程 Nexus essay writers uk 可视化报表 bug 智能手机 how to essay 开源BI工具 游戏 插件 phone looking 职业生涯 x86 网站建设 att cell phones HarmonyOS PC 谷歌字体无法加载 gadgets christmas gifts DevEco Studio Flutter 图片延时加载 blondine sexfilme AndroidStudio MVP Grow with Google freund xxx porno 编码 架构 谷歌成长计划 amateurporno Copilot MVC 谷歌在华 nha cai casino online tinycat99.world 团建 性能优化 Manjaro Linux 18.1 tinycat99 公司 Service LibreOffice royalty 神墓 四大组件 FreeOffice ben stokes the sun 哥斯拉大战金刚 广播 Fluteer mocospace chat 悬崖之上 BroadcastReceiver ios writing sa nginx App Maker 开发者 how to write an essay step by step apache 工具 语音输入 cheap essay writing service uk 禁止ip访问 多应用同时音频输入 神州天堂网 节点分享 PDF2Word 新公式 天堂文学 端口 生物识别 WPS Office 影视动漫 最新免费节点分析 身份验证 google chrome v77 小说网站 Fuchsia 程序员段子 免费vip 图片保存 Linux 程序员动图 emergency carpet cleaning brisbane 注册表修改 os C++ 标准库(STL) express carpet cleaning brisbane 图片格式 Python 3.7 微软 angel carpet cleaning brisbane reviews vmess Python MSVC situs gaple online ss 高级编程语言 Microsoft STL kode domino gaple online 香港节点 面向对象 TencentOS tiny download gaple online apk wifi连接 微信小程序 物联网操作系统 best love letter to your girlfriend on her birthday wifi-card 下拉刷新 量子计算机 love letter for her birthday tagalog 扫码连接wifi SpeedPan 商用量子计算机 love letter menu irvine 节点连接器 速盘 IBM 성인사이트 TLS1.2 百度网盘 计算机 ดูหนังออนไลน์ ssl/tls 下载 53-Qubit ดูหนังออนไลน์เต็มเรื่อง v2ray节点订阅 Aria2 53比特量子计算机 国外版抖音 节点订阅 css OpenJDK 13 海外版抖音 自定义菜单 前端 龙芯中科 抖音点赞关注无效 服务器配置 ImageSpan OpenJDK最新版本 MuMu模拟器 v2ray错误 控件 OpenJDK qq deposit pulsa v2ray问题 CIRQ Java环境 qq online dns刷新 量子算法框架 JDK 13 judi qq online VIP影视免费电影 Lineage 老五影院 descriptive narrative essay outline 天堂影院 ROM vip视频 comparative essay 无广告白嫖电影 Pixel 免费视频 a research paper 正义联盟 Pie 无广告电影电视剧 etax 白蛇2 Android 9.0 免费无广告vip视频 lil tecca 中国医生 Android Pie 视频网站 abc Milkdown 手机使用时间统计 电影网站 assignment help 文本编辑 z 免费资源 term papers and essays Markdown ScreenToGif CentOS 8 narrative and descriptive essay 误删文件 gif Red Hat 编程规范 文件恢复 屏幕录制 .NET Core 如何写出无法维护的代码 救援模式 win10 .NET Core 3.0 如何写出好代码 误删文件恢复 服务 vs pattern of essay writing in english v2ray节点 UserManager Visual Studio how to create an essay ss节点 MvRx Visual Studio 2019 16.3 write paper for me vmess节点 Airbnb Visual Studio 2019 essay guide 工程师 芯片 law essay writing service 跳槽 RecyclerView 阿里 essay draft 工作 强化学习 AI推理芯片 best same day delivery flowers TensorBoard 全球最强性能的AI推理芯片 best place to send a flower delivery same day خرید ویپ Crash 含光800芯片 order flowers for today ویپ اسموک 支付 NPU easy online loans bad credit ssr节点 微信支付 Android 11 quick easy payday loans for bad credit ssr节点分享 优化 easy loans online win11 wp优化 服务器 payday loans albuquerque win11镜像下载 站点优化 应用程序 payday loans mn Windows 11中文版 网站提速 微信公众号 direct lender payday loans no teletrack v2ray订阅 ios兼容 微信信息流 instant payday loans v2rayn 时间戳转换 微信二维码 instant online loan approval no credit check v2rayng sql 二维码识别 instant loan online 老五节点订阅 sql优化 长按识别二维码 best sushi near me 支付宝 weka-nogui html5 luxury dark 红包 wordpress 自定义协议 car 薅羊毛 浏览次数统计 chrome自定义协议打开ie浏览器 join διπλα κρεβατια 支付宝红包口令 wp免插件 微信公众号吸粉 stromata SSPanel-Uim v2ray订阅 台湾节点 香港节点 vmess节点 Harmony OS 鸿蒙 华为 v2ray节点 免费节点 资源分享 ss节点
  1. qrcode alipay
  2. qrcode weixin

评论