[安全] CISA示警Log4j破坏力惊人 数亿台设备受到影响

在本周一的电话简报中，网络安全和基础设施安全局(CISA)局长 Jen Easterly 告诉行业领导者，近期曝光的 Apache Log4j 漏洞破坏力即便不是最严重的，但也是她整个职业生涯中遇到的最严重漏洞之一。她表示：“我们预计该漏洞将被复杂的行为者广泛利用，我们只有有限的时间来采取必要的措施，以减少损害的可能性。该问题是一个未经认证的远程执行漏洞，可能允许入侵者接管受影响的设备”。

在与关键基础设施所有者和运营商的通话中，CISA 漏洞管理办公室的 Jay Gazlay 表示数以亿计的设备将会受到影响。作为国土安全部的一个组成部分，CISA 最快将在周二建立一个专门的网站，以提供信息并打击“积极的虚假信息”。该机构负责网络安全的执行助理主任 Eric Goldstein 说该漏洞将“允许远程攻击者轻松控制他们利用该漏洞的系统”。

该行业简报是世界各地政府官员发出的最新警报，CISA 在周末与奥地利、加拿大、新西兰和英国等国一起发出了警告。Goldstein说，CISA预计各种攻击者都会利用这一漏洞，从加密者到勒索软件集团，甚至更多。他说：“目前还没有证据表明存在积极的供应链攻击”。

Gazlay 说，企业需要“持续的努力”才能变得安全，即使在应用了 Apache 的补丁之后，也需要勤奋更新。Gazlay 说：“没有任何单一的行动可以解决这个问题”。如果认为任何人“在一两个星期内就能解决这个问题”，那是一个错误。