禁止套娃：新發佈的Log4j補丁被發現又包含一個可利用的漏洞
就在我們瞭解到國家支援的駭客已經開始研究上周震驚網路安全界的Log4j漏洞問題時，其他研究人員發出了一個令人不安的發展信號。 Log4j駭客，也被稱為Log4Shell已經有一個補丁，已經可以部署到企業。 但事實證明，這個補丁玩起了”套娃”：它解決原有問題的同時又產生新的安全問題，且可以被外部利用。 因此，希望保護他們的系統免受Log4j攻擊的公司必須部署一個新的補丁，修復之前的補丁。
正如我們在以前的報導中所解釋的，Log4j駭客是非常危險的。 這是因為它幾乎影響到所有提供互聯網服務的公司。 這個安全漏洞存在於一個被廣泛使用的Java日誌工具中。 自上週四披露以來，網路安全研究人員已經目睹了數十萬次利用該漏洞的嘗試。 這包括來自國家支援的駭客的攻擊，與大多數駭客相比，他們擁有大量可支配的資源。 只要互聯網公司不對他們的系統應用現有的Log4j補丁，他們就會面臨風險。
駭客可以利用Log4j駭客技術，在沒有密碼的情況下進入計算機伺服器。 從那裡，他們可以安裝其他惡意程式。 這些工具將讓他們竊取資訊，進行勒索軟體攻擊，或挖掘加密貨幣。 根據最初描述安全問題的報告，有人利用了《Minecraft》裡面的漏洞。 微軟很快給Minecraft打了補丁，並不斷發佈關於Log4j漏洞在外部世界的安全更新。
普通的終端用戶無法自己修復Log4j駭客的問題。 這並不像將操作系統或應用程式更新到最新、最安全的版本那樣容易。 是互聯網公司必須部署最新的Log4j補丁來保護伺服器。
但安全研究人員已經發現，Apache基金會上周發佈的Log4j 2.15.0補丁至少有兩個需要修復的漏洞。 報告說，已經安裝了Log4j 2.15.0的企業應該儘快安裝2.16.0版本。
根據一些研究人員的說法，Log4j 2.15.0的補丁”在某些非預設配置中”並不完整。 反過來，這使得攻擊者可以對打了補丁的系統發動攻擊。 來自Praetorian的安全研究人員也詳細介紹了新的安全問題，他們解釋說，駭客仍然可以從已經部署了Log4j 2.15.0補丁的伺服器上竊取數據。
“在我們的研究中，我們已經證明2.15.0在某些情況下仍然可以實現敏感數據的滲出，”研究人員說。 “我們已經把這個問題的技術細節傳遞給了Apache基金會，但在這期間，我們強烈建議客戶儘快升級到2.16.0。”
Praetorian發佈了對Log4j 2.15.0補丁的概念證明攻擊，但沒有披露使其成為可能的技術細節。
瞭解更多：