CISA，FBI和NSA发布Log4j漏洞的联合咨询和扫描程序
来自澳大利亚，加拿大，新西兰，美国和英国的网络安全机构周三发布了一份联合公告，以应对邪恶对手广泛利用Apache的Log4j软件库中的多个漏洞。
"这些漏洞，特别是Log4Shell，非常严重，"情报机构在新指南中表示。"复杂的网络威胁行为者正在积极扫描网络，以潜在地利用Log4Shell，CVE-2021-45046和CVE-2021-45105在易受攻击的系统。 这些漏洞很可能在很长一段时间内被利用。
攻击者可以通过向易受攻击的系统提交经特殊设计的请求来利用 Log4Shell （CVE-2021-44228），从而导致该系统执行任意代码。另一方面，CVE-2021-45046允许在某些非默认配置中远程执行代码，而远程攻击者可能利用CVE-2021-45105造成拒绝服务（DoS）情况。
自从这些漏洞在本月成为公众所知以来，未修补的服务器已经受到勒索软件组织到民族国家黑客的围攻，他们利用攻击媒介作为访问网络以部署Cobalt Strike信标，加密矿工和僵尸网络恶意软件的渠道。
美国联邦调查局（FBI）对这些攻击的评估也提出了威胁行为者将这些漏洞纳入"现有网络犯罪计划的可能性，这些计划正在寻求采用越来越复杂的混淆技术"。鉴于漏洞的严重性和可能增加的利用，我们敦促组织尽快识别，缓解和更新受影响的资产。
为此，美国网络安全和基础设施安全局（CISA）还发布了一个扫描程序实用程序，用于识别易受Log4Shell漏洞攻击的系统，这与CERT协调中心（CERT / CC）发布的类似工具相呼应。
政府采取的最新步骤是Apache软件基金会（ASF）发布了Apache HTTP Server 2.4.51的更新，以解决两个漏洞 - CVE-2021-44790（CVSS分数：9.8）和CVE-2021-44224（CVSS分数：8.2） - 前者可能被远程攻击者武器化以执行任意代码并控制受影响的系统。
