史诗级漏洞Log4Shell引爆全球，iPhone改名都可触发，门槛奇低

近期，一个高危漏洞引起了全球的网络安全震荡，该漏洞为 CVE-2021-44228，又名Log4Shell ，引起了新西兰电脑紧急响应中心（CERT）、美国国家安全局、德国电信CERT、中国国家互联网应急中心（CERT/CC）等多国机构发出警告。

Log4Shell 漏洞容易攻击到 Apple、Tesla、Google、腾讯、Steam 等知名网络服务商的服务器。据相关统计，有 6921个应用程序存在被攻击的危险，其中包含着拥有世界各地玩家的《我的世界》。由于漏洞危害大，范围广，短时间难以彻底解决，被业内人士称为“无处不在的零日漏洞”。

Log4Shell 漏洞为什么会如此严重呢？据悉该漏洞最早是阿里员工在11月24日发现的，随后阿里云安全团队向 Apache 报告 Apache Log4j2 远程代码执行（RCE)漏洞，直到12月9日才公开了更多的细节。

Apache 作为当下最流行的跨平台 Web 服务器之一，其中的开源日志组件 Apache Log4j2，被运用于许多基于 Java 的应用程序、网站和服务中。恰巧这一次漏洞便是在 Log4j2 的处理程式中发现到的缺陷。

攻击者可以发送特定恶意数据到目标服务器，当服务器把数据写入日志时，便会触发漏洞，实现远程执行任意代码。

举个例子，在《我的世界》中，攻击者可以通过游戏聊天发送触发指令的信息，对方收到之后便会遭受到攻击。甚至有网友反馈称，只需更改 iPhone 名称就可触发漏洞，攻击门槛很低。

由于 Log4Shell 的影响深远，这一次的漏洞堪称史诗级别，预计要持续几个月甚至几年才能完全解决。

为了减少损害，国家互联网应急中心给出了具体的一些漏洞防范措施，方法如下。

1）添加 jvm 启动参数-Dlog4j2.formatMsgNoLookups=true；
2）在应用 classpath 下添加 log4j2.component.properties 配置文件，文件内容为log4j2.formatMsgNoLookups=true；
3）JDK 使用 11.0.1、8u191、7u201、6u211 及以上的高版本；
4）部署使用第三方防火墙产品进行安全防护。