Apache Log4j 出现第四个漏洞：不受控制的递归-低调大师

Apache Log4j 出现第四个漏洞：不受控制的递归

2021-12-19 587

Apache Log4j 的 2.0-alpha1 到 2.16.0 版本存在新的漏洞 CVE-2021-45105 ，此漏洞评分 7.5 ，且在刚发布的 Log4j 2.17.0 (Java 8) 中得到了修复。如果把安全公司 Praetorian 发现的第三个信息泄露漏洞也算进去，这应该是 Log4j 的第四个漏洞了。

漏洞详情

Apache Log4j2 版本 2.0-alpha1 到 2.16.0 没有防止自引用查找的不受控制的递归。当日志配置使用带有上下文查找的非默认模式布局（例如，$${ctx:loginId}）时，控制线程上下文映射 (MDC) 输入数据的攻击者可以制作包含递归查找的恶意输入数据，导致 StackOverflowError 将终止进程。这也称为 DOS（拒绝服务）攻击。

缓解措施

从 2.17.0 版本（对于 Java 8）开始，只有配置中的查找字符串被递归扩展；在任何其他用法中，仅解析顶级查找，不解析任何嵌套查找。

在以前的版本中，可以通过确保您的日志记录配置执行以下操作来缓解此问题：

在日志记录配置的 PatternLayout 中，用线程上下文映射模式（%X、%mdc 或 %MDC）替换 ${ctx:loginId} 或 $${ctx:loginId} 等上下文查找。
否则，在配置中，删除对上下文查找的引用，如 ${ctx:loginId} 或 $${ctx:loginId}，它们源自应用程序外部的源，如 HTTP 标头或用户输入。

Log4j 的漏洞有点像计算机世界的新冠，一波未平一波又起，还时不时出现一些变种...

微信关注我们

原文链接：https://www.oschina.net/news/174478/log4j-4th-hole

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

VMware 产品出现另一个严重漏洞，危险性直逼 Log4j

VMware 可能度过了忙碌的一周，因为这个 IT 巨头的 100 多个产品都受到了 Log4j bug 的影响。然而屋漏偏逢连夜雨， Log4j 漏洞还没处理完，VMware 不得不面对另一项紧急修补工作 —— 安全公告 VMSA-2021-0029，此漏洞与 CVE-2021-22054 相关：VMware 的 Workspace ONE 统一端点管理 (UEM) 产品中的服务器端伪造请求。此漏洞评分为 9.1 “危急”，VMware 的 VMSA-2021-0029 漏洞公告并未提供关于该安全漏洞的太多信息，仅说明：具有 UEM 网络访问权限的恶意行为者，可以在未经身份验证的情况下发送他们的请求，并可能利用此问题来访问敏感信息。这个漏洞说明和 Log4shell 漏洞竟如此相似：“未经身份验证的情况下发送请求”，足以表明这是一个可怕的缺陷。因为 UEM 系统可以管理数万个端点。VMware 的 UEM 可以处理运行 Windows、macOS、Chrome OS、iOS、Android 和 IoT 设备的设备。但幸运的是，据外媒 the Register 介绍，已有两种方...

2021-12-19

886

一场针对160多万个WordPress网站的网络攻击正在进行，研究人员发现有攻击者曾数万次利用四个不同的插件和几个Epsilon框架主题的漏洞进行攻击。他们说，攻击者的目的是为了利用管理权限完全接管网站。此次攻击活动的范围非常值得注意。根据Wordfence的分析，该攻击活动来自16,000多个不同的IP地址。在前36小时内就有1370万次攻击。含有漏洞的插件研究人员说，攻击者的目的是利用以下插件中的未经认证的任意选项更新漏洞。主要是针对Kiwi Social Share(2018年打了补丁)，WordPress Automatic、Pinterest Automatic和PublishPress Capabilities(都在今年打了补丁)进行攻击。 Wordfence研究人员在周四的分析中指出，在大多数情况下，攻击者会将'users_can_register'选项更新为启用，并将'default_role'选项设置为`administrator'，这使得攻击者有可能以管理员的身份在任何网站上进行注册，有效地接管网站。据Wordfence称，该攻击活动于12月8日正式开始，...

2021-12-19

557

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。