Java爆严重安全漏洞 恐遭骇客网攻

daisiesdontdoit

电脑程式设计语言Java最近被发现一个先前未知、名为“Log4Shell”的漏洞，这可能让骇客透过网络侵入数以百万款应用程式，暴露用户的资讯。由于Java被广泛应用，苹果云端储存服务iCloud、游戏平台Steam等都可能沦为骇客攻击目标，许多公司的安全团队正紧急修补这个漏洞。

香港《星岛日报》报导，科技新闻网站The Verge指出，这次曝光的“Log4Shell”漏洞存在于Java日志框架的Log4j，被广泛应用于各种应用程式和网络服务，是一种程式内的纪录工具，保存执行活动的过程，方便在出现问题时进行检查。

几乎每个网络安全系统都会利用某种日志框架进行纪录，使得Log4j这类受欢迎的日志框架影响广泛。这项漏洞如果被骇客利用，能以远端执行程式码攻击脆弱的伺服器，进一步让骇客植入足以完全危害设备的恶意软件。

著名资讯安全研究员贺勤兹推文表示，有数以百万款软件都会受影响，例如苹果iCloud、推特（Twitter）、游戏平台Steam，以及受到儿童欢迎的Minecraft网上游戏等。骇客只需让应用程式接收一串特殊指令，就能远端执行程式代码，入侵相关程式。

网络安全公司Crowdstrike的高级智能副首席执行员迈耶斯，在距离这项Java漏洞被发现后12小时，即上周五早上说：“网络现正在着火，人们正赶往修补（漏洞），而某些人正涌往利用这个漏洞。”他指这个漏洞已被完全变为“武器”，意指作恶者已研发了利用这个漏洞的工具，并向其他人传送。

这个漏洞首先在电玩游戏Minecraft的伺服器被发现，他们发现骇客可以通过发布聊天讯息来触发漏洞。

资讯安全分析公司GreyNoise推文表示，公司已经检测到许多伺服器正在网上搜索易受此漏洞攻击的设备。应用资讯安全公司LunaSec推文称，游戏平台Steam和苹果的iCloud已经被发现存在漏洞。

资讯安全公司Cloudflare技术主任葛兰姆-康明告诉The Verge，由于Java和日志框架的Log4j广泛使用，这是非常严重的漏洞。因为有大量Java软件连到网络和后台系统。回顾过去10年，只有两个漏洞的严重程度比得上这次。

目前Log4j已经释出更新版，并开始修补漏洞，但直到所有漏洞更新之前，“Log4Shell”漏洞依旧是一大威胁。

https://www.orientaldaily.com.my ... l/2021/12/12/455378

daisiesdontdoit

这次的漏洞真的太严重了，感兴趣的朋友可以啊研究下，让全世界大厂都手忙脚乱的代码漏洞 是怎么一步步成为噩梦的？大家一起钻研。https://www.cnbeta.com/articles/tech/1215279.htm