国家互联网应急中心征集软硬件产品或服务受阿帕奇漏洞影响情况

　　中证网讯（记者杨洁见习记者彭思雨）12月13日晚间，国家互联网应急中心公告称，为进一步摸清阿帕奇远程代码执行漏洞对我国的影响程度，建议厂商积极自查并报送发现的软硬件产品或服务受影响情况。
　　近日，被全球广泛应用的日志组件ApacheLog4j2被曝出一个在野利用的高危漏洞。对此，国家互联网应急中心于12月13日晚间发布公告称，由于ApacheLog4j2在框架组件和软硬件产品二次开发中应用较为广泛，建议各厂商单位对开发的软硬件产品和服务进行积极自查，重点检查对ApacheLog4j2组件的引用情况，若发现受此漏洞影响需立即修复，并通知产品用户及时更新。同时，国家互联网应急中心向厂商征集软硬件产品或服务受影响情况，以判断漏洞对我国的影响程度。
　　记者从360公司处获悉，360安全团队在检测近期广泛流行的ApacheLog4j2漏洞威胁时发现多起攻击事件，尤其是微软我的世界游戏，短期内被黑客发起大量攻击，最高峰时有超过10000个玩家遭到攻击，360对此做出预警通报。
　　360安全专家告诉记者，此次出现漏洞的ApacheLog4j2是阿帕奇软件基金会（Apache）管理的一款基于Java的日志记录工具，被广泛应用于各种常见的Web服务中，90以上基于Java开发的应用平台都会直接或间接使用该工具。由于该组件使用范围广泛，此次爆发的漏洞风险危及了IT通信（互联网）、高校、工业制造、金融、政府、医疗卫生、运营商等几乎所有行业。其波及面和威胁程度，均堪比2017年的永恒之蓝。
　　专家表示，攻击者能够利用该漏洞直接在被攻击设备上执行代码，进而控制设备来进行窃取数据，投递勒索病毒、挖矿木马等，属于威胁程度最高的一类漏洞。
　　记者梳理发现，截至12月14日，京东、斗鱼、网易、深信服等多家互联网及安全厂商应急响应中心表示，鉴于该漏洞的影响范围较大，业务自查及升级修复需要一定时间，暂不接收Log4j2远程代码执行漏洞的通知。
　　目前，国内多家安全厂商已发布针对ApacheLog4j2漏洞的企业和个人用户修复方案。360安全团队表示，360安全卫士、360终端安全等系统目前支持了对该漏洞的拦截，同时更新了高危漏洞免疫工具缓解类似攻击。
　　值得一提的是，Apache官网称ApacheLog4j2漏洞是阿里云安全团队最早发现的。11月24日，阿里云安全团队就向Apache官方报告了ApacheLog4j2远程代码执行漏洞。目前，漏洞利用细节已公开，Apache官方已发布补丁修复该漏洞。业内专家指出，此次Log4j2漏洞发现，体现出国内安全研究的技术水平有了极大提升。但网络安全保护尚未在国内引起足够重视，企业普遍存在安全规范为业务让行的情况。希望这次漏洞事件，能够引起大家对网络安全的重视。