Log4Shell: Log4j远程代码执行漏洞

by Canonical on 4 January 2022

在 Apache Log4j 2 中发现了一个影响很大的漏洞,其是一个广泛部署且被许多 Java 应用程序用于改善日志记录的软件组件。攻击者可以控制日志消息或其参数以导致应用程序执行任意代码。在 Ubuntu 中,Apache Log4j 2 打包在 apache-log4j 2 软件源包下—​​—现在已经打了修复补丁来解决上述漏洞,详情见 USN-5192-1(12 月 14 日)和 USN-5197-1(12 月 15 日)。此漏洞已分配为 CVE-2021-44228CVE-2021-45046CVE-2021-45105

要应用全部可用的补丁到你的Ubuntu系统,可以通过 ua 命令来进行操作:

$ sudo ua fix CVE-2021-44228
$ sudo ua fix CVE-2021-45046
$ sudo ua fix CVE-2021-45105

注意 Apache Log4j 2 包的使用情况

Apache Log4j 2 包的广泛使用以及 Java 平台的打包惯例使得解决该漏洞(整个安全行业)变得非常重要。原因是该软件不仅作为打包组件出现在 Ubuntu 中,而且该软件的单独副本也经常直接捆绑在流行的应用程序中。特别地,后者使得特定应用程序或系统是否易受攻击的任务变得非常困难。IT 团队必须单独检查每个应用程序,以通过“拆分”应用程序或使用软件物料清单和清单来确定应用程序是否存在漏洞。仅更新此软件组件的 Ubuntu 打包版本可能不足以确保修复所有使用 Apache Log4j 2 的应用程序。

推荐

我们建议我们的用户和客户从 Canonical 获取最新的软件安全更新,并验证他们使用的任何第三方 没有捆绑 log4j 包的Java 软件。要了解有关哪些 Canonical 受到影响的产品的更多信息,请访问此持续更新的页面

更多关于此漏洞的信息

订阅博客文章

订阅您感兴趣的主题

在提交此表格的同时,我确认已阅读和同意的隐私声明隐私政策。

查看更多内容

使用Ubuntu系统管理工具Landscape来构建离线APT仓库:第三篇

继续第二篇博客文章,现在我们将注册Landscape客户端到服务端并管理软件仓库。 使用 https注册客户端 客户端可以通过https的方式进行注册从而使用本地软件仓库。大概的操作步骤如下: sudo apt-get update sudo apt-get install landscape-client 从Landscape服务器传送/etc/ssl/certs/landscape_server_ca.crt landscape到客户端 客户端能解析到Landscape服务器的FQDN sudo landscape-config –account-name standalone –url https://<server>/message-system –ping-ur […]

使用Ubuntu系统管理工具Landscape来构建离线APT仓库:第一篇

Ubuntu 是开发人员、云或横向扩展应用程序最流行的 Linux 发行版,原因之一是提供长期可用且易于安装的软件升级及安全补丁。一些企业用户可能在没有互联网访问的本地网络中运行大量 Ubuntu 桌面或服务器,这些机器无法访问在线的 Ubuntu APT 仓库导致无法获得和安装系统更新,从而导致网络中的机器存在安全问题。然而,借助 Ubuntu 系统管理工具 Landscape 则可以有效地解决此问题。 本系列博客将演示如何使用 Ubuntu 系统管理工具 Landscape 来构建一个离线的 APT 仓库为内网机器提供软件更新源。需要注意的是,Landscape 仍需通过代理访问互联网,但其它系统只需访问到 Landscape 来下载安全补下或软件升级。其为 apt- […]

Kria KR260: 一个由 Ubuntu驱动的可扩展的机器人平台

今天,机器人开发人员对 AMD Kria™ KR260 机器人入门套件的发布充满期待。机器人技术是一项具有挑战性的工作。AMD通过降低嵌入式设计的准入门槛加速每个行业的机器人创新。Kria 自适应模块系统 (SOM)的 产品组合最新成员展示了这项工作。 以最经济的价格快速部署机器人 Kria KR260 的第一个亮点是其与现有的 Kria K260 自适应 SOM 板的无缝生产部署的能力。与芯片化设计相比,通过加快设计周期,Kria SOM 产品组合与 Ubuntu 结合使用时,可节省多达 9 个月的部署时间。对于机器人公司而言,所有无需 FPGA 专业知识的开发人员可快速开始项目工作。 对开发人员的另一个关键益处是成本低。Kria KR260 机器人初级套件的价格为34 […]