您当前的位置:首页 > 电脑百科 > 安全防护 > 资讯

美国网络安全和基础设施安全局 (CISA)和CrowdStrike发布多个 Log4j 扫描器但没有一个能检测到所有的格式

时间:2021-12-24 14:06:34  来源:  作者:邮电设计技术

据ZDNet12月24日报道,CISA本周发布了自己的Log4J扫描器,同时发布的还有网络安全公司和研究人员发布的其他扫描器。

开源的Log4j扫描器是由开源社区其他成员创建的扫描器派生而来的,其设计目的是帮助组织识别受Log4j漏洞影响的潜在脆弱Web服务。

美国网络安全和基础设施安全局 (CISA)和CrowdStrike发布多个 Log4j 扫描器但没有一个能检测到所有的格式

图片来自:google

该协会表示,他们修改了由安全公司FullHunt开发的Log4J扫描器,并得到了菲利普·克劳斯(Philipp Klaus)和莫里茨·贝勒(Moritz Bechler)等其他研究人员的帮助。

存储库为CVE-2021-44228和CVE-2021-45046提供了扫描解决方案。 CISA表示,它支持DNS回调,以发现和验证漏洞,同时为HTTP POST数据参数、JSON数据参数提供fuing,并支持URL列表。

CrowdStrike也发布了自己的免费Log4J扫描器,名为CrowdStrike存档扫描工具(CAST)。

Rezilion的漏洞研究负责人Yotam Perkal对一些Log4J扫描器进行了测试,发现许多扫描器无法找到漏洞的所有实例。

“最大的挑战在于在生产环境的打包软件中检测Log4Shell: JAVA文件(比如Log4j)可以嵌套到其他文件的几个层次深处——这意味着浅层搜索不会找到它,”Perkal说。 “此外,它们可能被打包成许多不同的格式,这给在其他Java包中挖掘它们带来了真正的挑战。”

Rezilion针对打包的Java文件数据集测试了开发人员和IT团队最常用的9个扫描器,在打包的Java文件数据集中,Log4j被嵌套并以各种格式打包。

Perkal说,虽然有些扫描器比其他扫描器做得更好,但没有一个能检测到所有的格式。 根据Perkal的说法,这项研究说明了“静态扫描在检测Log4j实例方面的局限性”。

“它也提醒我们,检测能力取决于你的检测方法。 扫描器有盲点,”Perkal解释道。

“网络安全主管不能盲目地认为各种开源甚至商业级工具能够检测到所有的边缘情况。 以Log4j为例,在很多地方都有很多边缘实例。”

(编译:涂利慧)



Tags:Log4j   点击:()  评论:()
声明:本站部分内容及图片来自互联网,转载是出于传递更多信息之目的,内容观点仅代表作者本人,如有任何标注错误或版权侵犯请与我们联系(Email:2595517585@qq.com),我们将及时更正、删除,谢谢。
▌相关推荐
据ZDNet12月24日报道,CISA本周发布了自己的Log4J扫描器,同时发布的还有网络安全公司和研究人员发布的其他扫描器。开源的Log4j扫描器是由开源社区其他成员创建的扫描器派生而...【详细内容】
2021-12-24  Tags: Log4j  点击:(7)  评论:(0)  加入收藏
▌简易百科推荐
据ZDNet12月24日报道,CISA本周发布了自己的Log4J扫描器,同时发布的还有网络安全公司和研究人员发布的其他扫描器。开源的Log4j扫描器是由开源社区其他成员创建的扫描器派生而...【详细内容】
2021-12-24  邮电设计技术    Tags:Log4j   点击:(7)  评论:(0)  加入收藏
我们所见过的技术上最复杂的漏洞利用之一”- 谷歌“零号项目”安全研究人员评价ForcedEntry无交互攻击。多年来,以色列间谍软件开发商NSO集团针对安卓和iOS设备开发出了多款...【详细内容】
2021-12-24  科技湃小编    Tags:黑客   点击:(8)  评论:(0)  加入收藏
这几天Log4j的问题消息满天飞,今天我们就一起来看看从源码角度看看这个漏洞是如何产生的。 大家都知道这次问题主要是由于Log4j中提供的jndi的功能。具体涉及到的入口类是lo...【详细内容】
2021-12-15  IT技术资源爱好者    Tags:Log4j漏洞   点击:(13)  评论:(0)  加入收藏
随着网络安全防御需求扩大,网安技术、产品和解决方案数量也随之激增。为了了解和驾驭全球网络安全市场,对比国内外网络安全企业的差异,今天我们来看看由国外网络安全垂直媒体eS...【详细内容】
2021-09-18  数说安全    Tags:网络安全公司   点击:(188)  评论:(0)  加入收藏
作者:左右里编辑:釉子 据BitDefender安全研究人员称,他们发现了一个黑客组织正在以SSH暴力破解的方式攻击Linux设备,目的是在这些设备上安装门罗币恶意挖矿软件。SSH,一种为远程...【详细内容】
2021-07-22  看雪学院    Tags:矿机   点击:(185)  评论:(0)  加入收藏
在互联网、金融和区块链领域风靡的数字资产/版权证书(NFT)正面临一系列网络安全危机。上周四,一位自学成才的艺术家麦克·温克尔曼(Mike Winkelmann)以6930万美元的价格在...【详细内容】
2021-03-19      Tags:漏洞   点击:(155)  评论:(0)  加入收藏
前段时间,sudo被曝不要密码就可进行root提权的漏洞引起一片哗然,众多公司纷纷连夜打补丁来避免损失。FreeBuf也对此进行了相应的报道《不用密码就能获取root权限?sudo被曝新漏...【详细内容】
2021-03-16      Tags:root提权漏洞   点击:(135)  评论:(0)  加入收藏
深度学习是机器学习的一个子领域,它采用了一个特定的模型:一族通过某种方式连接起来的简单函数。由于这类模型的结构是受到人类大脑结构的启发而创造出来的...【详细内容】
2021-02-26      Tags:深度学习   点击:(269)  评论:(0)  加入收藏
物联网技术正在加速向各行业渗透,根据中国信通院《物联网白皮书(2020年)》内容显示:预计到2025年,物联网连接数的大部分增长来自产业市场,产业物联网的连接数将占到总体的61.2%。...【详细内容】
2021-01-22      Tags:物联网安全   点击:(463)  评论:(0)  加入收藏
CSRF跨站请求伪造(Cross-Site Request Forgery)CSRF经常配合XSS一起进行攻击!(同XSS类似,都属于跨站攻击,不攻击服务器端而攻击正常访问网站的用户!)XSS利用站点内的信任用户,CS...【详细内容】
2020-10-22      Tags:Web漏洞   点击:(560)  评论:(0)  加入收藏
最新更新
栏目热门
栏目头条