在 Log4j 漏洞曝出以后，Apache 手机软件慈善基金会于上周二公布了修复后的 2.17.0 新版本，并于周五晚一点公布了一个新补丁包。官方网认可 2.16 版本没法在查找评定中妥当避免无尽递归，因此易受 CVE-2021-45105 攻击的危害。据了解，这一拒绝服务攻击(DoS)攻击的危害等级非常之高，CVSS 得分超过了 7.5 / 10 。
截屏(via Bleeping Computer)
具体说来是，Apache Log4j2 的 2.0-alpha1 到 2.16.0 版本，均无法避免自引入查找的不可控递归。
当日志配备应用了含有前后文查找的非默认设置方式合理布局时(例如 $${ctx:loginId})，控线程前后文投射(MDC)数据信息导入的攻击者，便可制做一份包括递归查找的故意键入数据信息，进而造成过程因堆栈溢出出错而被停止。
相隔三天出现的新问题，是由 Akamai Technologies 的 Hideki Okamoto 和另一位密名漏洞科学研究工作人员所看到的 —— 该类攻击又称之为 DoS(拒绝服务攻击)。
减轻对策包含布署 2.17.0 补丁包，并将例如 ${ctx:loginId}或$${ctx:loginId}之类的前后文查找，更换为日志纪录配备中 PatternLayout 进程的语义投射方式(如%X、%mdc或%MDC)。
Apache 还提议在 ${ctx:loginId}或$${ctx:loginId}等配备中，删掉对前后文查找的引入 —— 他们来源于应用软件的外界，例如 HTTP 标头或客户键入。
幸运的是，仅有 Log4j 的关键 JAR 文档，遭受了 CVE-2021-45105 漏洞的的危害。
(图 via Google Security Blog)
周五的情况下，网络信息安全科研工作人员逐渐公布相关 2.16.0 潜在性问题的文章，且在其中一些人明确了拒绝服务攻击(DoS)漏洞。
英国网络信息安全和基础设施建设安全局(CISA)明确提出了多种应急提议，规定联邦政府组织尽早在圣诞节前贯彻落实补丁包修补。
此外，IBM、思科交换机、VMware 等互联网巨头，也在分秒必争地修补自己家商品中的 Log4j 漏洞。
第二波惶恐不安来源于安全性企业 Blumira 发觉的另一种 Log4j 攻击，其可以运用设备或网络连接上的监听网络服务器来进行攻击。
在这之前，很多人误认为 Log4j 漏洞仅限曝露的易受攻击的网络服务器。而 Conti 之类的勒索病毒机构，也在积极推进该类漏洞运用方式。