快速响应log4j2“核弹级”漏洞，守护用户通信安全北卡在行动
2021-12-11
12月9日晚，Apache Log4j2组件被曝出存在一个在野利用的高危漏洞。攻击者可以利用该漏洞，在未授权的情况下获取目标服务器的控制权限，操作门槛极低，危害程度极大，堪称“核弹级”漏洞。
Apache Log4j2是一个基于Java的日志记录工具，是目前最优秀的Java日志框架之一，被大量用于业务系统开发，因此几乎所有科技企业，包括京东、百度、苹果等巨头都成为该Log4j2远程代码执行漏洞的受害者，Apache官方建议所有用户立即进行组件升级。消息一出，引发整个行业震动。
北卡科技安全中心第一时间监测到网上披露该漏洞，并立即启动应急响应机制。经北卡科技安全团队技术分析，该漏洞是由Apache Log4j2 组件中提供的lookup功能所引发，该功能允许开发者通过一些规则读取相应环境中的配置，但在实现的过程中，并未对输入进行严格判断，从而导致一些别有用心的攻击者无需特殊配置，即可直接构造恶意请求触发远程代码执行漏洞，进而窃取目标服务器的控制权限。
经北卡科技工程师认真细致排查，确认我司现有产品在发布时都进行了严格规范的加固设置，交付服务器的底层均对log4j2相关功能进行了屏蔽，同时我司系统中自研的嵌入式自主防御防火墙可有效针对该类型恶意请求进行拦截过滤。因此北卡科技产品不受该漏洞影响，客户可以放心使用北卡科技产品。
本着“安全无小事”的认真态度，北卡科技仍旧会遵循Apache官方建议，对现有组件进行升级，并协助客户进行更新，以最大程度保证客户安全和利益。
作为国内首家获得安全通信资质大满贯的企业，北卡科技将继续秉持“不止是通信，更是安全”的发展理念，不断深耕技术研究，为用户提供安全可靠的产品，为网络安全行业的发展贡献自己的力量！