谷歌開源洞察團(tuán)隊(duì)詳解Apache Log4j漏洞造成的廣泛影響
上周五，谷歌開源洞察團(tuán)隊(duì)在官方安全博客上發(fā)表了一篇文章，詳細(xì)介紹了 Apache Log4j 漏洞對(duì)行業(yè)造成的廣泛影響。 James Wetter 和 Nicky Ringland 指出，超過 35000 個(gè) Java 包、占總數(shù) 8% 以上的 Maven 中央存儲(chǔ)庫，尤其讓我們對(duì)其留下的隱患感到擔(dān)憂。
（來自： Google Security Blog ）
據(jù)悉，這些漏洞允許攻擊者利用 Log4j 日志庫已被廣為人知的不安全 JNDI 查找功能來執(zhí)行遠(yuǎn)程代碼。糟糕的是，這項(xiàng)功能在許多版本中都被默認(rèn)啟用。
自 12 月 9 日披露以來，Log4j 漏洞因其嚴(yán)重性和廣泛影響，而引起了信息安全生態(tài)系統(tǒng)的高度關(guān)注。畢竟作為一款流行的日志工具，它已被數(shù)以萬計(jì)的軟件包（Java 里的 Artifacts）和項(xiàng)目所使用。
由于用戶對(duì) Log4j 的傳遞依賴項(xiàng)缺乏足夠的遠(yuǎn)見，這不僅使得我們很難確定零日漏洞的影響范圍、相關(guān)修復(fù)工作也變得相當(dāng)困難。
期間，Google 開源洞察團(tuán)隊(duì)調(diào)查了 Maven 中央存儲(chǔ)庫中的 Java 工件的所有版本，最終將范圍縮小到了基于 JVM 語言的開源生態(tài)系統(tǒng)，同時(shí)密切追蹤事態(tài)的發(fā)展。
截至 2021 年 12 月 16 日，該團(tuán)隊(duì)發(fā)現(xiàn)來自 Maven Central 的 35863 個(gè)可用 Java 工件，有依賴于受影響的 log4j 代碼。
這意味著，僅 Maven Central 平臺(tái)上超過 8% 的軟件包，都至少有一個(gè)版本受此漏洞的影響。
若放眼整個(gè)生態(tài)系統(tǒng)，漏洞威力更是不容小覷（Maven Central 的平均影響為 2% / 中位數(shù)低于 0.1%）。
直接受影響的依賴項(xiàng)，約占這部分工件中的 7000 個(gè)，意味著它們的任何版本都被 Log4j-core 或 Log4j-api 所波及（完整列表可見 CVE 漏洞披露公告）。
此外大多數(shù)受影響的工件，都來自間接的依賴項(xiàng)，即它們是作為傳遞依賴項(xiàng)而被牽扯進(jìn)來的。
至于當(dāng)前開源 JVM 生態(tài)系統(tǒng)的修復(fù)進(jìn)展，若工件中至少有一個(gè)版本受到了影響，且發(fā)布了一個(gè)不受漏洞波及的更穩(wěn)定版本，谷歌開源洞察團(tuán)隊(duì)就將之視作已修復(fù)。
比如受 Log4j 漏洞影響的工件已更新到 2.16.0、或完全剔除了對(duì) Log4j 的依賴。慶幸的是，Log4j 維護(hù)者和更廣泛的開源社區(qū)對(duì)此問題的響應(yīng)是相當(dāng)迅速的，并且付出了切實(shí)的巨大努力。
截止博客發(fā)表時(shí)，團(tuán)隊(duì)統(tǒng)計(jì)到了將近 5000 個(gè)已被修復(fù)的項(xiàng)目。至于剩余的那 30000 個(gè)工件，其中許多依賴于另一個(gè)工件。在傳遞依賴被修復(fù)前，暫時(shí)只有一刀切來阻止。
對(duì)于 Java 生態(tài)系統(tǒng)來說，修復(fù)難度主要體現(xiàn)在工件的互相連接。首先，依賴鏈越深，漏洞修復(fù)所需的步驟就越繁雜（超過 80% 軟件包的深度都超過了一級(jí)）。
其次，依賴算法和需求規(guī)范中的生態(tài)系統(tǒng)級(jí)選擇約定，也為事件埋下了較大的伏筆。在 Java 生態(tài)系統(tǒng)中，開發(fā)者的通常做法是指定軟件版本方面的“軟”要求（假設(shè)沒有其它版本的相同包出現(xiàn)在依賴關(guān)系圖中）。
此類修復(fù)通常需要維護(hù)人員采取更加明確的行動(dòng)，以將依賴需求更新為修補(bǔ)后的版本。這種做法與其它生態(tài)系統(tǒng)形成了鮮明的對(duì)比，例如在 npm 軟件包上，開發(fā)者通常會(huì)為依賴項(xiàng)指定敞開的范圍。
最后，對(duì)于整個(gè)生態(tài)系統(tǒng)需要耗費(fèi)多少時(shí)間來完成漏洞修復(fù)，目前也很難評(píng)估。在查看了所有公開披露的影響 Maven 包的關(guān)鍵建議中，我們發(fā)現(xiàn)只有不到一半（48%）得到了修復(fù)。
不過在 Log4j 方面，事情還算是相當(dāng)積極的。不到一周后，就有 4620 個(gè)受影響的工件（約 13%）得到了修復(fù)。剩下的工作，仍需全球開源維護(hù)者、信息安全團(tuán)隊(duì)和廣大用戶付出巨大的努力。
【來源：cnBeta.COM】
68000元 徠卡M11旁軸全畫幅相機(jī)正式發(fā)布
2022-01-14 19:39:24
售價(jià)1999元！OPPO A96輕薄手機(jī)明日開售
2022-01-14 19:39:09
支持DLSS、Reflex和AMD FSR技術(shù) 《戰(zhàn)神4》PC版1月15日發(fā)售
2022-01-14 19:38:58
爆款主機(jī)滿減500元！武極電腦年貨節(jié)大促火熱進(jìn)行中
2022-01-14 19:38:47
曝真我GT2 Pro春節(jié)前上市 20日舉行預(yù)溝通會(huì)
2022-01-14 19:38:06
小學(xué)英語課本W(wǎng)uYifan改名WuBinbin 已經(jīng)用了21年
2022-01-14 18:57:21
設(shè)計(jì)要點(diǎn)在形狀 小米獲“智能手環(huán)”外觀專利授權(quán)
2022-01-14 18:18:40
售價(jià)僅有68000元！徠卡M11搭載6400萬像素還是全畫幅
2022-01-14 18:18:26
提升游戲體驗(yàn)！華碩RX 6500XT顯卡發(fā)布
2022-01-14 18:18:12
科技達(dá)人手工耿研發(fā)自加熱廁紙！上大號(hào)幸福感滿滿
2022-01-14 18:16:53
屏幕提升驚人！小米公布智能手環(huán)新外觀專利
2022-01-14 18:16:41
1999元起 極致輕薄OPPO A96明日開售
2022-01-14 18:16:27
價(jià)值成長繼往開來 2022年NEC投影機(jī)渠道大會(huì)圓滿舉辦
2022-01-14 18:16:11
曝真我GT2 Pro春節(jié)前上市 20日舉行預(yù)溝通會(huì)
2022-01-14 18:15:27
Dethleffs E.Home Coco自走式拖車又向現(xiàn)實(shí)邁出了一大步
2022-01-14 17:53:19
Facebook智能手表專利曝光 可旋轉(zhuǎn)互換表盤 或支持AR/VR交互
2022-01-14 17:53:06
微軟推EzPC框架：在AI模型驗(yàn)證中增強(qiáng)數(shù)據(jù)安全性
2022-01-14 17:52:55
報(bào)告：美國上大學(xué)學(xué)生減少100多萬，為50年來最低數(shù)字
2022-01-14 17:52:48
Geekbench曝光OPPO Pad跑分 驍龍870+6GB運(yùn)存
2022-01-14 17:52:27
辛巴公司回應(yīng)河南消協(xié)訴訟：已賠付消費(fèi)者4143.9萬元 不設(shè)時(shí)限賠完為止
2022-01-14 17:52:10
無人駕駛技術(shù)進(jìn)一步延伸：日本驗(yàn)證觀光船海上無人駕駛技術(shù)
2022-01-14 17:51:56
新數(shù)據(jù)顯示蘋果為什么應(yīng)該放棄iPhone mini機(jī)型
2022-01-14 17:51:43
iPhone SE 3高清渲染：類iPhone XR設(shè)計(jì) 5.69吋屏幕
2022-01-14 17:51:27
TrendForce預(yù)估：2022年筆記本出貨量2.38億臺(tái) 同比減少3.3%
2022-01-14 17:51:17
宿舍集體出600張“女生自用”3080顯卡 網(wǎng)友：女子礦業(yè)大學(xué)？
2022-01-14 17:50:58
2G網(wǎng)絡(luò)漏洞威脅大 新版Android加入開關(guān)允許用戶手動(dòng)關(guān)閉
2022-01-14 17:50:47
Office更新重大功能！Word支持語音搜索
2022-01-14 16:40:30
比亞迪6100萬美元鎖定8萬噸鋰礦
2022-01-14 16:40:22
12代神U搭華碩B660重炮手 暢爽體驗(yàn)3A大作
2022-01-14 16:40:11
中國限量1塊 《黑客帝國4》定制版3080 Ti英偉達(dá)官博免費(fèi)送
2022-01-14 16:40:02
創(chuàng)新、沉浸、定制三重優(yōu)勢(shì)盡顯，三星The Wall再奪華顯知名品牌獎(jiǎng)
2022-01-14 16:39:55
趕快升級(jí)！小米平板5系列全量更新MIUI 13穩(wěn)定版
2022-01-14 16:39:48
連夜送裝上千臺(tái)熱水器，西安、天津蘇寧易購在行動(dòng)
2022-01-14 16:39:40
黑莓安卓App也停服！多加小心
2022-01-14 16:39:30
Redmi Note 11推出蜘蛛俠英雄裝，免費(fèi)送海報(bào)
2022-01-14 16:39:22
5億5G終端，有你一份嗎？
2022-01-14 16:39:08
中國動(dòng)力電池市場(chǎng)：寧德時(shí)代超一半
2022-01-14 16:38:59
閃鑄與科灣共推生產(chǎn)力改革（一）： Guider2S和Creator4的賦能之路
2022-01-14 16:38:50
下一代Intel至強(qiáng)被強(qiáng)拆 64個(gè)核心只用了56個(gè)
2022-01-14 16:38:39
曝真我GT2 Pro春節(jié)前上市 20日舉行預(yù)溝通會(huì)
2022-01-14 16:38:06
專訪Thinkware崔振鎬法人長：探尋豪華品牌背后的故事
2022-01-14 15:29:00
拼多多砍一刀終于被棄！真當(dāng)消費(fèi)者都是傻子呢？
2022-01-14 15:28:51
MIUI13開發(fā)版公測(cè)第一批機(jī)型今日推送
2022-01-14 15:27:32
Redmi K50影像系統(tǒng)曝光 搭載IMX766傳感器
2022-01-14 15:26:40
財(cái)報(bào)暗示《GTA6》將于2024年3月前發(fā)售
2022-01-14 15:26:22
Redmi Note 11S渲染圖曝光 將在印度推出
2022-01-14 15:24:45
絕了！Edge 30 Ultra 官方皮套+手寫筆曝光！
2022-01-14 15:24:06
谷歌瘋了斥資10億美元買樓！在倫敦建新總部！
2022-01-14 15:23:39
最高法：扶持中小微企業(yè)嚴(yán)懲大平臺(tái)2選1
2022-01-14 15:23:30
有沒有你的手機(jī)！MIUI 13開發(fā)版公測(cè)首批今晚推送 覆蓋近30款機(jī)型
2022-01-14 15:23:20
包括20多款機(jī)型 MIUI 13開發(fā)版公測(cè)今晚來啦
2022-01-14 15:23:07
王者榮耀授權(quán) 鴻星爾克推出虎年限定版“皮膚鞋”
2022-01-14 15:22:27
曝真我GT2 Pro春節(jié)前上市 20日舉行預(yù)溝通會(huì)
2022-01-14 15:21:57
人生得意須盡歡，準(zhǔn)備發(fā)年終獎(jiǎng)，送自己和家人一臺(tái)萬元按摩椅，不過分吧？
2022-01-14 14:57:33 某券商發(fā)文防員工炫富：工作環(huán)境下禁開百萬豪車戴高檔手表
2022-01-14 14:15:54
哥斯達(dá)黎加一廢棄水電站為加密貨幣挖礦而重新啟動(dòng)
2022-01-14 14:15:47
白宮邀請(qǐng)?zhí)O果、亞馬遜、IBM討論開源軟件安全問題
2022-01-14 14:15:35
騰訊投資易思匯 展現(xiàn)增強(qiáng)跨境支付的野心
2022-01-14 14:15:15
盡管有COVID-19疫情籠罩 但世界上最大的iPhone工廠仍能保持運(yùn)轉(zhuǎn)
2022-01-14 14:15:02
三星與特斯拉合作發(fā)布23個(gè)補(bǔ)丁 FSD開始適用主線Linux內(nèi)核
2022-01-14 14:14:54
微信紅包引入異形封面 朋友圈搖一搖就能領(lǐng)
2022-01-14 14:14:44
隔離也能“躺賺”？保費(fèi)9塊9的新冠隔離險(xiǎn)真值得買嗎？
2022-01-14 14:14:33
阿斯利康：最新數(shù)據(jù)顯示Vaxzevria加強(qiáng)針可提高對(duì)Omicron抗體水平
2022-01-14 14:14:16
北京冬奧會(huì)火炬將在三個(gè)賽區(qū)傳遞 能抗10級(jí)大風(fēng)
2022-01-14 14:13:56
性能暴漲40％ Intel Arc顯卡冒出來20個(gè)版本
2022-01-14 14:12:29
研究顯示：新冠病毒在空氣中暴露20分鐘即失去大部分感染能力
2022-01-14 14:12:18
RMDS 計(jì)劃推出全球首家科技IP NFT 交易市場(chǎng)
2022-01-14 13:39:02
等老了改名嗎？小紅書成功注冊(cè)老紅書商標(biāo)
2022-01-14 13:38:52
2021年我國5G手機(jī)出貨量達(dá)2.66億部
2022-01-14 13:38:42
京東家電專賣店人氣爆棚 超15000家線下門店年貨節(jié)銷售火爆
2022-01-14 13:38:32
曝真我GT2 Pro春節(jié)前上市 20日舉行預(yù)溝通會(huì)
2022-01-14 13:38:06
Minisforum發(fā)布UM350入門迷你PC：搭載銳龍R5-3550H APU
2022-01-14 13:24:40
受服務(wù)器維護(hù)與穩(wěn)定性問題拖累 廣告過濾DNS服務(wù)Adhole宣布關(guān)停
2022-01-14 13:24:31
3ISP+第7代AI引擎 新一代旗艦手機(jī)背后的驍龍8
2022-01-14 13:24:20
啟用4臺(tái)機(jī)器人餐廳老板談感想 還是無法全部取代人類
2022-01-14 13:24:15
明起，12306手機(jī)App可開具電子臨時(shí)乘車身份證明
2022-01-14 13:24:07
分析師預(yù)測(cè)：《GTA6》將在2024年3月前發(fā)售
2022-01-14 13:24:00
官方廣告最為致命 微信上線新年早春限量異形紅包封面
2022-01-14 12:41:31
配置讓PC汗顏！紅魔7入網(wǎng)：驍龍8+18G內(nèi)存
2022-01-14 12:41:18
最低只需36元 現(xiàn)在入手國行Switch享受專屬虎年新春福利
2022-01-14 12:41:08
點(diǎn)份小米外賣！小米生態(tài)鏈開通美團(tuán)外賣店
2022-01-14 12:40:57
【必買】輕松觸發(fā)!微星VIGOR GK71 SONIC機(jī)械鍵盤配雙層透明鍵帽
2022-01-14 12:40:48
BD光盤過時(shí)了？酷睿12放棄SGX支持
2022-01-14 12:40:29
美運(yùn)營商成功測(cè)試全球首個(gè)家用萬兆調(diào)制解調(diào)器
2022-01-14 12:38:36
【必買】打工人用這個(gè)才夠勁!雷神銀翼 Lite mini LED顯示器配4K+144Hz面板
2022-01-14 12:36:49
新品來啦！雷神上線MiniLED顯示器到手4999元
2022-01-14 12:36:36
曝真我GT2 Pro春節(jié)前上市 20日舉行預(yù)溝通會(huì)
2022-01-14 12:34:33
創(chuàng)業(yè)加盟連鎖代理開店服務(wù)好平臺(tái)推薦
2022-01-14 11:59:24 三星新專利：帶折疊屏幕的可拆卸筆記本
2022-01-14 11:43:19
[圖]摩托羅拉Edge 30 Ultra手寫筆和保護(hù)套曝光
2022-01-14 11:43:10
拼多多“砍一刀”項(xiàng)目失寵：內(nèi)部績效打分被評(píng)為最低檔
2022-01-14 11:42:44
炒鞋炒玩偶 警惕被“割韭菜”
2022-01-14 11:42:31
Logan Paul斥資350萬美元購買寶可夢(mèng)卡牌后透露自己被騙
2022-01-14 11:42:18
Bing與Yandex率先采納IndexNow協(xié)議 可分享即時(shí)URL更新
2022-01-14 11:42:03
Gap攜手Brandon Sines推出NFT捆綁連帽衫 售約415美元
2022-01-14 11:41:52
最高法：依法嚴(yán)懲強(qiáng)制“二選一”、強(qiáng)制搭售等不正當(dāng)競(jìng)爭(zhēng)行為
2022-01-14 11:41:45
聚劃算，用「臨期貨品」重新定義年輕
2022-01-14 11:18:24 
HDD硬盤Q4出貨約6400萬部！同比下降約10%
2022-01-14 10:58:20 
Android 13首個(gè)重大功能揭曉：有望支持 LC3編碼器
2022-01-14 10:57:05 
屏占比史上最高！iPhone 14有望采用打孔屏并完全抹除劉海區(qū)域
2022-01-14 10:55:01 
營業(yè)執(zhí)照公示信息
相關(guān)新聞