Anh em làm dự án phần mềm chắc không nhiều thì ít đều có sờ qua thư viện...

Tắt Quảng Cáo [X]

Đăng Nhập để ẩn Tất Cả Quảng Cáo

#j2team_share
Anh em làm dự án phần mềm chắc không nhiều thì ít đều có sờ qua thư viện log4j. Bên mình cũng sml mấy hôm cuối tuần để rà soát lại toàn bộ các dự án và product đang chạy. Cả product của bên thứ 3 đang sử dụng.

Đối tượng ảnh hưởng:

Tất cả các phần mềm, framework sử dụng thư viện Log4j phiên bản trước 2.0.0 – 2.14.x.

Cách khắc phục:
- Các dự án Java đang phát triển, để khắc phục lỗ hổng này, các dự án sử dụng thư viện Log4J nâng cấp lên phiên bản 2.15.0.
- Với case đặc biệt không thể nâng cấp lên ver 2.15 thì có thể tham khảo thêm link:
Vui lòng đăng kí hoặc đăng nhập để thấy liên kết tại BigMMO

 

chỉ có log4j v 2.x.x nó mới ảnh hưởng, còn log4j 1.x.x thì k sao nên bảo version trước 2.0.0 là sai, và nó ảnh hưởng tùy theo jvm bạn đang xài nữa, version từ 8u121 mới bị, version 7 cũng k sao. Nên có lo cũng đừng lo quá. bạn tìm AWS-2021-006 trên gg để biết thêm chi tiết nhé

 

cách khắc phục đơn giản hơn mà bên mình đã nhanh chóng triển khai (dưới 1 phút) là deploy 1 con nginx làm proxy và reject tất cả những request có jdni/ldap trong đó

 

Hoàng Dũng Ko có log4j là tạch lab web java =)))

 

Ai demo bằng video cách hack để xem nó nguy hiểm cỡ nào đc không

 

các bạn có thể tham khảo cloudfare Vui lòng đăng kí hoặc đăng nhập để thấy liên kết tại BigMMO

"Cloudflare rolled out protection for our customers using our Firewall in the form of rules that block the jndi Lookup in common locations in an HTTP request. This is detailed here. We have continued to refine these rules as attackers have modified their exploits and will continue to do so.
"