“核弹级” Log4j 漏洞仍普遍存在，并造成持续影响
共 1389字，需浏览 3分钟
·
2022-07-26 02:38
Log4j “核弹级” 漏洞 Log4Shell 或许将永远影响世界。
美国国土安全部 (DHS) 网络安全审查委员会 (CSRB) 近日发布了针对去年Log4Shell漏洞的调查报告：
https://www.cisa.gov/sites/default/files/publications/CSRB-Report-on-Log4-July-11-2022_508.pdf
CSRB 是今年 2 月才由 DHS 成立的机构，职责是调查重大网络安全事件，并提供包含提升国家网络安全建议的报告。CSRB 首次调查的事件正是去年 Log4j 爆发的 “核弹级” 漏洞。
报告指出，虽然没有迹象表明由于 Log4j 漏洞而发生重大网络攻击，但它仍将 “在未来几年内被利用”。国土安全部副部长 Rob Silvers 也表示：“Log4j 漏洞是历史上最严重的软件漏洞之一。”
CSRB 董事会提到，令人惊讶的是，Log4j 漏洞的利用程度低于专家的预期。他们还说到，目前尚未发现针对关键基础设施系统的重大 Log4j 攻击，但有一些网络攻击没有在报告中提到。
董事会表示，未来出现的攻击很可能在很大程度上是因为 Log4j 经常被嵌入到其他软件，由于间接依赖导致企业很难发现在其系统中运行。他们就减轻 Log4j 漏洞的影响以及总体上提升网络安全提出了一些建议，其中包括建议大学和社区学院将网络安全培训作为计算机科学学位和认证计划的必要部分。
根据 sonatype 的统计数据(https://www.sonatype.com/resources/log4j-vulnerability-resource-center)，在 Maven Central 上，每个工作日易受攻击的 Log4j 版本仍然有超过 100,000 次的下载量。
推荐阅读
你好，我是程序猿DD，10年开发老司机、阿里云MVP、腾讯云TVP、出过书创过业、国企4年互联网6年。从普通开发到架构师、再到合伙人。一路过来，给我最深的感受就是一定要不断学习并关注前沿。只要你能坚持下来，多思考、少抱怨、勤动手，就很容易实现弯道超车！所以，不要问我现在干什么是否来得及。如果你看好一个事情，一定是坚持了才能看到希望，而不是看到希望才去坚持。相信我，只要坚持下来，你一定比现在更好！如果你还没什么方向，可以先关注我，这里会经常分享一些前沿资讯，帮你积累弯道超车的资本。