Log4Shell 两周年,仍有不少项目使用包含漏洞的版本
Log4Shell 是 Log4j 2.0(Log4J2)的一个 0day 远程代码执行漏洞,被定性为“过去十年来最大、最关键的漏洞”,最早由阿里巴巴集团于2021年11月24日发现并报告给 Apache 软件基金会。 尽管已经过去了两年,但根据安全公司 Veracode 的报告,该漏洞的影响仍然存在。 Veracode 分析了 2023 年 8 月 15 日至 11 月 15 日期间 90 天内的软件扫描数据,针对 3,866 个组织运行 Log4j 版本 1.1 至 3.0.0-alpha1 的 38,278 个独特应用程序。 在Log4j 1.1到 3.0.0-alpha1 版本中,有超过三分之一的应用程序使用了存在漏洞的 Log4j 版本。具体来说: 2.8% 的应用程序仍在使用 Log4j2 2.0-beta9 到 2.15.0 之间的版本,这些版本存在 Log4Shell 漏洞。 另外 3.8% 的应用程序使用的是 Log4j2 2.17.0 版本,虽然该版本已修复了 Log4Shell 漏洞,但仍然存在 CVE-2021-44832 漏洞,这是一个高危的远程代码执行漏洞。...


