Log4Shell (CVE-2021-44228) vẫn còn trong hạ tầng doanh nghiệp: cách rà soát
Nhiều năm sau khi công bố, các phiên bản Log4j dễ tổn thương vẫn xuất hiện trong ứng dụng nội bộ và sản phẩm bên thứ ba. Hướng dẫn rà soát bằng SBOM và công cụ quét.
Lỗ hổng JNDI injection trong Apache Log4j 2 (CVE-2021-44228) cho phép thực thi mã từ xa chỉ bằng một chuỗi được ghi log như ${jndi:ldap://...}.
Rà soát
- Sinh SBOM cho image và artifact (Syft, Trivy) rồi tìm
log4j-core< 2.17.1. - Quét cả các tệp JAR lồng nhau (fat JAR, WAR, EAR).
- Dùng template Nuclei để kiểm tra từ bên ngoài các dịch vụ public.
Giảm thiểu
Nâng cấp Log4j lên 2.17.1+ (Java 8) và chặn kết nối LDAP/RMI đi ra từ máy chủ ứng dụng.
🛡️ Thông tin lỗ hổng liên quan (1)
Tổng hợp tự động từ MITRE CVE · NIST NVD · FIRST EPSS · CISA KEV · dịch bằng AIApache Log4j2 — Lỗ hổng thực thi mã từ xa của Apache Log4j2. Đưa vào KEV ngày 2021-12-10, hạn khắc phục với cơ quan liên bang Mỹ: 2021-12-24. Yêu cầu: Đối với tất cả các tài sản phần mềm bị ảnh hưởng trong đó có bản cập nhật, hành động khắc phục duy nhất chấp nhận được là: 1) Áp dụng bản cập nhật; HOẶC 2) loại bỏ các tài sản bị ảnh hưởng khỏi mạng của cơ quan. Các biện pháp khắc phục tạm thời sử dụng một trong các biện pháp cung cấp tại https://www.cisa.gov/uscert/ed-22-02-apache-log4j-recommended-mitigation-measures chỉ được chấp nhận cho đến khi có bản cập nhật.
Tính năng JNDI của Apache Log4j2 không bảo vệ chống lại các điểm kết nối LDAP và các điểm kết nối JNDI liên quan do kẻ tấn công kiểm soát
Apache Log4j2 từ 2.0-beta9 đến 2.15.0 (trừ các bản phát hành bảo mật 2.12.2, 2.12.3 và 2.3.1) không bảo vệ các tính năng JNDI trong cấu hình, thông điệp log và tham số chống lại các điểm kết nối do kẻ tấn công kiểm soát. Kẻ tấn công có thể kiểm soát thông điệp log hoặc tham số của thông điệp log có thể thực thi mã tùy ý tải từ các máy chủ LDAP khi thay thế tìm kiếm thông điệp được kích hoạt. Từ phiên bản log4j 2.1…
Ban biên tập nội dung và phân tích an ninh mạng tại HueCA-CYBER.
Bài viết liên quan
Cùng chuyên mục & chủ đề
FAA phát tải không khiếm khuyết, FBI đang kiểm tra cập nhật phần mềm
![[Video] Từ phim “Trại buôn người” đến cảnh báo tội phạm](/media/2026/11/06f8b4326c3bbaf5637a.avif)
[Video] Từ phim “Trại buôn người” đến cảnh báo tội phạm
Nhóm tấn công Trung Quốc tự động hóa tấn công vào doanh nghiệp bán dẫn và tổ chức quốc phòng Mỹ
