威胁远未结束！您仍然可能面临 Log4j 漏洞的风险

危险的 Log4j 漏洞不会消失，即使是在对易于利用的漏洞进行修复几个月后。

Rezilion 的网络安全研究人员最近发现了超过 90000 个易受攻击的面向互联网的应用程序，其中包括超过 68000 个潜在易受攻击的 Minecraft 服务器，这些服务器的管理员尚未应用安全补丁，从而使它们及其用户面临网络攻击。而且您对此无能为力。

Log4j 将困扰我们互联网用户很长一段时间，由于这个问题是从服务器端利用的，人们]无法做太多事情来避免服务器受损的影响。

该漏洞被称为 Log4 Shell，是于 2021 年 12 月首次详细介绍。美国网络安全和基础设施安全局 (CISA) 主任 Jen Easterly 称该漏洞为他在整个职业生涯中都见过遇到过的最严重的漏洞之一。

问题的范围可以从 Apple、Steam、Twitter、Amazon 等流行供应商的易受攻击的服务和应用程序的汇编中衡量， LinkedIn、特斯拉和其他几十家公司。不出所料，网络安全社区做出了全力响应，Apache 几乎立即发布了补丁。

Rezilion 研究人员分享了他们的发现，希望大多数（如果不是全部）易受攻击的服务器都能够得到修补，因为媒体对该漏洞进行了大量报道。“我们错了，”惊讶的研究人员写道。“不幸的是，事情远非理想，许多易受 Log4 Shell 攻击的应用程序仍然存在。”

研究人员使用 Shodan 物联网 (IoT) 搜索引擎发现了易受攻击的实例，并认为结果只是冰山一角。实际易受攻击的攻击面要大得多。

你有风险吗？

尽管暴露的攻击面相当大，但对于普通家庭用户来说还是有一些好消息。这些 Log4j 漏洞中的大多数存在于应用程序服务器上，因此不太可能影响您的家用计算机。

然而，网络安全供应商 WhiteSource 的产品营销高级总监Jack Marsal指出，人们一直在与互联网上的应用程序交互，从在线购物到玩在线游戏，使他们容易受到二次攻击。受感染的服务器可能会泄露服务提供商持有的有关其用户的所有信息。

Marsal 警告说。“个人无法确定与他们交互的应用服务器不会受到攻击，”

不幸的是，情况远不理想，许多易受 Log4 Shell 攻击的应用程序仍然存在。

积极的一面是，一些供应商已经让家庭用户可以相当简单地解决这个漏洞。例如，官方的 Minecraft 通知说，玩 Java 版游戏的人只需关闭所有正在运行的游戏实例，并重新启动 Minecraft 启动器，它会自动下载补丁版本。

如果您不确定您的计算机上正在运行哪些 Java 应用程序，则该过程会稍微复杂一些。建议寻找具有 .jar、.ear 或 .war 扩展名的文件。但是，仅仅存在这些文件并不足以确定它们是否暴露于 Log4j 漏洞。

建议人们使用卡内基梅隆大学 (CMU) 软件工程研究所 (SEI) 计算机应急准备小组 (CERT) 发布的脚本来搜索他们的计算机以查找漏洞。但是，这些脚本不是图形的，使用它们需要进入命令行。

综合考虑，在当今互联的世界中，每个人都应尽最大努力保持安全，建议大家遵循基本的桌面安全实践，以掌握任何通过利用该漏洞而长期存在的恶意活动。

The post 威胁远未结束！您仍然可能面临 Log4j 漏洞的风险 first appeared on Linux迷.