警惕！繼Apache Log4j2漏洞後，Logback又爆新漏洞

近日，Apache Log4j2漏洞風波尚未平息，Logback也爆出了新漏洞。

透過Logback官網描述瞭解到，Logback 1.2.9以下版本中，存在安全漏洞，攻擊者可以透過更改logback配置檔案新增惡意配置，從而可以執行LDAP伺服器上載入的任意程式碼。

鬆一口氣的是，Logback的這個漏洞與Log4j的漏洞不是一個級別的，並不會像Log4j那樣嚴重。官方為了避免恐慌，也特意強調：”Please understand that log4Shell/CVE-2021-44228 and CVE-2021-42550 are of different severity levels. “

Logback官方的修復速度也是非常給力，短時間內釋出了5個版本。使用者透過把Logback版本升級到1.2.9和把logback.xml檔案配置為只讀就可以避開這個漏洞。

儘管Logback這個漏洞並未產生嚴重影響，描述漏洞的嚴重級別也只有MEDIUM級，但因為Log4j漏洞數週以來帶來的嚴重影響，大家已經對於漏洞的爆出十分敏感了。這些漏洞的發生也給大家敲響了警鐘，企業組織需要及時透過各種途徑瞭解自己的系統中是否存在安全漏洞，要及時對漏洞進行響應處理，規避可能的大規模網路攻擊。

當前，快速發展的網路資訊科技讓網路攻擊形式愈發組織化、複雜化，攻擊手法多變難以預測。而資訊系統的日益複雜，導致系統脆弱性的種類及數量也爆炸性增長，致使網路攻擊更易利用系統脆弱性。因此，各組織運營者可安裝部署聚銘網路旗下的聚銘網路脆弱性掃描系統來解決漏洞檢測管理問題。

聚銘網路脆弱性掃描系統（簡稱：CSV）是由聚銘網路自主研發的一款自動化全面安全檢測系統。系統擁有系統漏洞掃描、Web漏洞掃描、安全基線合規性檢查、配置變更檢查、弱口令掃描五大安全掃描引擎，可一鍵全面解決脆弱性檢測的需求。

系統會主動地對內網中的主機、Web、弱口令、配置基線、配置變更五個層面進行掃描檢測，然後進行探測和匹配（漏洞庫、基線策略）找出問題隱患，最終形成帶有解決方案的完整的安全報告，幫助企業針對系統進行安全加固，解決安全隱患。

系統可廣泛應用於系統日常安全運維包括裝置入網、日常運維、安全檢查、專案驗收等場景，為客戶提供合規安全專項檢查及安全風險評估服務。

目前，聚銘網路脆弱性掃描系統作為聚銘網路旗下重要的安全產品之一，已在醫療、能源、網際網路、金融、教育、政府等眾多行業得到了廣泛應用。

聚銘網路時刻關注跟蹤安全市場風險動態，為行業客戶提供7*24小時網路安全防護建設服務，歡迎有需求的機構廠商前來諮詢瞭解。

---- END ----