在 Log4j 漏洞曝光之后，Apache 软件基金会于上周二发布了修补后的 2.17.0 新版本，并于周五晚些发布了一个新补丁。官方承认 2.16 版本无法在查找评估中妥善防止无限递归，因而易受 CVE-2021-45105 攻击的影响。据悉，这个拒绝服务(DoS)攻击的威胁级别相当之高，CVSS 评分达到了 7.5 / 10 。
周五的时候，网络安全研究人员开始发布有关 2.16.0 潜在问题的推文，且其中一些人确定了拒绝服务(DoS)漏洞。
美国网络安全和基础设施安全局(CISA)提出了多项紧急建议，要求联邦机构尽快在圣诞节前落实补丁修复。
与此同时，IBM、思科、VMware 等科技巨头，也在争分夺秒地修复自家产品中的 Log4j 漏洞。
第二波惶恐源于安全公司 Blumira 发现的另一种 Log4j 攻击，其能够利用机器或本地网络上的侦听服务器来发起攻击。
在此之前，许多人误以为 Log4j 漏洞仅限于暴露的易受攻击的服务器。而 Conti 之类的勒索软件组织，也在积极探索此类漏洞利用方法。
由 dawei
【声明】：毕节站长网内容转载自互联网，其相关言论仅代表作者个人观点绝非权威，不代表本站立场。如您发现内容存在版权问题，请提交相关链接至邮箱：bqsm@foxmail.com，我们将及时予以处理。