Log4Shell: Log4j远程代码执行漏洞

by Canonical on 4 January 2022

在 Apache Log4j 2 中发现了一个影响很大的漏洞，其是一个广泛部署且被许多 Java 应用程序用于改善日志记录的软件组件。攻击者可以控制日志消息或其参数以导致应用程序执行任意代码。在 Ubuntu 中，Apache Log4j 2 打包在 apache-log4j 2 软件源包下——现在已经打了修复补丁来解决上述漏洞，详情见 USN-5192-1（12 月 14 日）和 USN-5197-1（12 月 15 日）。此漏洞已分配为 CVE-2021-44228、CVE-2021-45046 和 CVE-2021-45105。

要应用全部可用的补丁到你的Ubuntu系统，可以通过 ua 命令来进行操作：

$ sudo ua fix CVE-2021-44228
$ sudo ua fix CVE-2021-45046
$ sudo ua fix CVE-2021-45105

注意 Apache Log4j 2 包的使用情况

Apache Log4j 2 包的广泛使用以及 Java 平台的打包惯例使得解决该漏洞（整个安全行业）变得非常重要。原因是该软件不仅作为打包组件出现在 Ubuntu 中，而且该软件的单独副本也经常直接捆绑在流行的应用程序中。特别地，后者使得特定应用程序或系统是否易受攻击的任务变得非常困难。IT 团队必须单独检查每个应用程序，以通过“拆分”应用程序或使用软件物料清单和清单来确定应用程序是否存在漏洞。仅更新此软件组件的 Ubuntu 打包版本可能不足以确保修复所有使用 Apache Log4j 2 的应用程序。

查看更多内容

通过 CVE 优先级确保开源安全

最近的一项研究显示，企业市场上 96% 的应用程序均使用开源软件。随着开源环境变得越来越分散，评估潜在安全漏洞对组织的影响可能变成一项必须执行的任务。Ubuntu 被誉为最安全的操作系统之一，为什么呢？Ubuntu 是安全领域的领导者，因为 Ubuntu Security 团队每天都在修复并发布针对已知漏洞的更新软件包。事实上，团队平均每天都会提供 3 个以上的更新，而最重要的更新是在 24 小时内准备、测试和发布的。为了取得这样的结果，Canonical 设计了一套稳健的流程来检查、优先排序并首先修复最重要的软件漏洞。软件漏洞作为公共漏洞和暴露 (CVE) 系统的一部分进行追踪检测，Ubuntu Security 团队（通过 Ubuntu Security 通知 — U […]

使用 Ubuntu Pro 和机密虚拟机加强云网络安全

在当今的数字环境下，各种规模的组织都提高了自身的云使用率。但随之而来的是攻击面明显增加，使安全成为了人们最关心的问题。本文中，我们将深入到激动人心的云网络安全世界，并在 Ubuntu 的帮助下探索更强大的方法来保护您的工作负载。为什么操作系统的选择对云网络安全很重要？首先，我们来讨论一下为什么操作系统的选择对安全性很重要。虽然开发商作出巨大的努力确保其应用程序的安全，但他们所提供的安全保证也只是拼图中的一小片。一旦您的应用程序在生产平台上投入运行，威胁仍有可能来自特权系统软件，包括操作系统、虚拟机管理器和平台的固件。通过设计，该软件可以访问您应用程序的所有资源，如果应用程序变成恶意的或受到损害，可能会泄露应用程序的所有敏感数据。因此，认识到操作系统的安全性是应用程 […]

新吉祥物加冕礼：Noble Numbat

无论是通过民众投票、天意还是湖中仙女赐予王者之剑，登上王位的往往是声名显赫或出身高贵的人。在我们 20 周年前夕，很高兴向大家展示 Ubuntu 24.04 LTS 的吉祥物—— Noble Numbat（尊贵的袋食蚁兽）。低微出身说到 “尊贵”，人们可能很难首先想到来自澳大利亚的神秘有袋类动物——袋食蚁兽。不过它们的外表非常具有欺骗性。这些不可思议的濒危物种实际上是口袋大小的食蚁兽，它们完全以蚂蚁为食，依靠身体三分之一长的舌头捕捉蚂蚁。它们的背部有着黑白相间的条纹，像极了王袍，因而被选为西澳大利亚州的象征动物。袋食蚁兽象征着出身低微也能享誉世界的人。至高成就同样，Ubuntu 也从构建更加人性化的 Linux 这样一个初出茅庐的梦想发展成为一个备受信赖的平台 […]

Log4Shell: Log4j远程代码执行漏洞

注意 Apache Log4j 2 包的使用情况

推荐

更多关于此漏洞的信息

订阅博客文章

订阅您感兴趣的主题

查看更多内容

通过 CVE 优先级确保开源安全

使用 Ubuntu Pro 和机密虚拟机加强云网络安全

新吉祥物加冕礼：Noble Numbat