日前，美國網絡安全和基礎設施安全局 (CISA)、聯邦調查局 (FBI)、國家安全局 (NSA)聯合澳大利亞網絡安全中心 (ACSC)、加拿大網絡安全中心 (CCCS)、新西蘭計算機應急響應小組(CERT NZ)、新西蘭國家網絡安全中心 (NZ NCSC) 和英國國家網絡安全中心 (NCSC-UK) 聯合發布了一份名為《緩解 Log4Shell 和其他與 Log4j 相關的漏洞》的聯合網絡安全報告。

該報告包含了Log4j 相關漏洞的技術細節、以及針對不同類型的企業的詳細緩解措施：

• 供應商
• 擁有 IT 和云資產的受影響組織
• 擁有 OT/ICS 資產的受影響組織

點此查閱該報告 PDF 的版本。

除了發布聯合公告外，CISA 還開源了一款名為 “log4j-scanner” 的漏洞掃描程序，該程序可為 log4j 遠程代碼執行漏洞 (CVE-2021-44228 & CVE-2021-45046) 提供掃描解決方案，識別除易受 log4j 漏洞攻擊的深層 Web 服務。

為了避免重復造輪子，該掃描程序的構建過程參考了下列項目：

• log4-scanner - Log4j 漏洞掃描框架。
• dns - Python 中的簡單 DNS 服務器(UDP 和 TCP)。
• ldap - 包含有用的代碼來測試 lookup() 調用。

可在此 GitHub 倉庫查看該漏洞掃描程序的源代碼。

本文轉自OSCHINA

本文標題：CISA 公布 Log4j 漏洞的國際聯合報告和開源掃描程序

本文地址：https://www.oschina.net/news/175478/cisa-publish-joint-advisory-and-log4-scanner