CISA敦促美国联邦机构在圣诞节前完成Log4Shell漏洞修补
由目录时间表可知,上述工作需在 12 月 24 日之前完成。
此外,CISA 于昨日提出了一个专门的网页,旨在为美国公共和私营部门提供有关 Log4Shell 漏洞缓解措施的指导。
该机构计划在该页列出所有易受 Log4Shell 漏洞影响的软件供应商,以便大家即使获取最新且全面的补丁信息。
尽管自上周以来,厂商已经陆续推出了紧急补丁,但要等到正式融合于相关软件,显然还需要再等待一段时间。
虽然 CISA 工作人员仍在通过 GitHub 收集项目信息,但安全研究员 Royce Williams 已经编制了哪些产品易受 Log4Shell 漏洞攻击影响的一份列表(其中涵盖了 300 多家供应商),此外还有一份由荷兰国家网络安全中心维护的名录。
至于造成本次风波的罪魁祸首,其源于 Log4j 这个 Java 库中的一个 bug 。Log4j 为许多 Java 桌面应用程序 / 服务器软件提供了日志创建和管理功能,但几乎无处不在的大规模漏洞利用,已将各个行业逼到了相当危险的境地。
另一个需要考虑的是,思科与 Cloudflare 均表示,他们曾于漏洞公开两周前首次看到 Log4Shell 被利用的迹象 —— 确切说法是 12 月 1 日发生了首次攻击(而不是上周)—— 意味着安全团队需要扩大相关响应事件的调查。
相关文章:
CISA示警Log4j破坏力惊人 数亿台设备受到影响
Log4j漏洞大流行:72小时内发生超84万起攻击